iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 33篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織<a href="https://www.linuxfoundation.org/press/finos-announces-intent-to-form-osera-a-global-financial-services-led-alliance-for-open-source-supply-chain-resiliency-in-the-era-of-ai" target="_blank">FINOS（Fintech Open Source Foundation）於6月25日在Open Source in Finance Forum宣布</a>，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。</p> <p><a href="https://osera.finos.org/" target="_blank">OSERA定位為全球性、廠商中立且由會員共同治理的聯盟</a>，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。FINOS指出，金融機構經常依賴相同的開源相依性套件與版本，一旦其中某個元件出現漏洞，可能同時影響多家機構。若各企業各自修補同一套件，不僅成本較高，也容易造成修補流程與證據格式不一致。</p> <p>這項計畫由軟體修補自動化業者Moderne推動，德意志銀行（Deutsche Bank）、高盛（Goldman Sachs）、摩根士丹利（Morgan Stanley）、加拿大皇家銀行（Royal Bank of Canada）與道明銀行集團（TD Bank Group）等FINOS會員已參與試行。試行期間，團隊針對Apache Camel、Bouncy Castle、Netty與Spring Framework等Java專案既有版本的已知漏洞，建立回溯修補維護線（Maintained backpatch lines），並透過參與銀行既有的代理（proxy）與CI流程完成全面驗證，無須變更既有開發工具鏈。</p> <p>為了協助企業判斷開源套件中漏洞的修補優先順序，OSERA也提供Risk Navigator等工具，可依通用漏洞評分系統（CVSS）、美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞目錄（KEV）、漏洞利用機率評分系統（EPSS）、專案影響範圍與升級路徑，評估哪些漏洞應優先修補。FINOS表示，後續將推動開源套件修補治理機制、制定受監管環境的修補採用標準，並建立機器可讀證據套件，協助企業符合歐盟數位營運韌性法（DORA）、網路與資訊安全指令（NIS2），以及網路韌性法（CRA）等法規要求。</p> <p>OSERA計畫也與<a href="https://www.ithome.com.tw/news/176934" target="_blank">Linux基金會日前宣布的開源安全計畫Akrites</a>形成互補。Akrites著重於開源套件漏洞通報、協調揭露與上游修補；OSERA則著重於協助金融機構與其他受監管企業導入開源套件修補，並保留可供稽核的修補、測試與部署證據。</p> </div></div></div>
6/30 10:35作者王珮瑤https://www.ithome.com.tw/news/176958
FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年世界盃足球賽（FIFA World Cup）於6月11日展開，在此之前，相關的網路詐騙呈現爆炸性增長，繼<strong><a href="https://www.ithome.com.tw/news/176264">外部數位風險防護業者CTM360提出警告</a></strong>後，有資安公司提出警告，駭客已透過網路詐騙生態系統，藉此牟取不法利益。</p> <p>上週威脅情報公司Cyble揭露<strong><a href="https://cyble.com/blog/operation-fantrap-fifa-2026-fraud-ecosystem/">Operation FanTrap</a></strong>活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當，然後將他們導向Telegram、WhatsApp等即時通訊管道，進行付款詐騙，帳密竊取，以及身分資料收集的行為。Cyble提及，許多假網域名稱刻意針對中文使用者，開頭不少是zh-或cn-，並設定世界杯、盤口、買球等中文關鍵字，顯示該犯罪集團針對龐大的中國球迷而來。</p> <p>值得留意的是，駭客標榜免費觀賽的盜版串流網站，Cyble發現許多並非單純的版權侵權，而是被用作帳密竊取與資安詐騙的工具，駭客透過假影片播放器、誘導下載、瀏覽器推播通知及虛假免費試用等手法，蒐集用戶的電子郵件、密碼、付款資訊及裝置資料。部分非官方串流平臺的應用程式，更要求過多權限、夾帶惡意廣告，甚至成為惡意程式入侵的管道。</p> </div></div></div>
6/30 10:37作者周峻佑https://www.ithome.com.tw/news/176959
美國證實SimpleHelp滿分漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Blackpoint<strong><a href="https://www.ithome.com.tw/news/176957">近日指出</a></strong>，他們發現有人利用SimpleHelp滿分重大漏洞CVE-2026-48558，對一家偵測與回應代管（MDR）廠商散布惡意程式TaskWeaver與Djinn Stealer，現在美國政府也確認該漏洞遭到利用的現象。</p> <p>6月29日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/29/cisa-adds-one-known-exploited-vulnerability-catalog">他們將CVE-2026-48558列入已遭利用的漏洞列表（KEV）</a></strong>，並要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48558">在7月2日前</a></strong>完成修補，原因是已掌握該漏洞遭到積極利用的證據。至於該漏洞是否被用於勒索軟體活動？CISA表示不清楚。</p> </div></div></div>
6/30 11:11作者周峻佑https://www.ithome.com.tw/news/176961
美國查封近400個用於非法直播FIFA 2026賽事的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月26日<strong><a href="https://www.justice.gov/opa/pr/united-states-seizes-hundreds-internet-domains-used-illegally-stream-world-cup-matches">美國司法部（DOJ）宣布</a></strong>，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。為了支持查封權限的申請，美國國土安全局（HSI）證實，被查封的網域確實在未經授權的情況下，積極轉播比賽內容。這些被查封的網域在FIFA協助下被確認，並由beIN、NBC環球、電影協會創意與娛樂聯盟（ACE）、終極格鬥錦標賽（UFC），以及華納兄弟提供相關支援資訊。</p> <p>值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。先前威脅情報公司Cyble<strong><a href="https://www.ithome.com.tw/news/176959">也提出類似的警告</a></strong>，許多盜版轉播網站被用於竊取用戶帳密與資安詐騙，甚至向用戶散布惡意軟體。</p> </div></div></div>
6/30 11:17作者周峻佑https://www.ithome.com.tw/news/176962
遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月遠端監控與管理軟體SimpleHelp<strong><a href="https://www.ithome.com.tw/news/176601">發布5.5.16與6.0 RC2更新</a></strong>，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，該漏洞源自OpenID Connect（OIDC）身分驗證流程未正確驗證身分權杖（Identity Token）的加密簽章。如今此漏洞已出現實際攻擊。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-simplehelp-flaw-deploy-new-djinn-infostealer-taskweaver-malware/">資安新聞網站Bleeping Computer報導</a></strong>，資安公司Blackpoint<strong><a href="https://blackpointcyber.com/blog/a-djinn-in-the-machine-taskweavers-node-js-intrusion-chain">提出警告</a></strong>，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer。特別的是，Djinn Stealer廣泛針對開發者與基礎設施的憑證，尤其是AI開發工具，包括：Claude、Gemini、Codex、Cline、OpenCode、Kilo，再者，駭客也會搜刮MCP伺服器的組態設定。一旦竊得這些資料，攻擊者就有可能因此繼承AI助理對資料庫、雲端資源、資料庫，以及API的存取權限。</p> <p>附帶一提，Blackpoint提及TaskWeaver是通用型的惡意程式載入工具，因此未來攻擊者無須修改，就能用於投放後門、勒索軟體、偵察工具，以及其他惡意軟體。，此外，TaskWeaver還會為受害電腦建立指紋進行追蹤，並從C2基礎設施接收JavaScript模組然後執行。</p> </div></div></div>
6/30 09:57作者周峻佑https://www.ithome.com.tw/news/176957
Oracle E-Business重大漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年勒索軟體駭客組織Clop<strong><a href="https://www.ithome.com.tw/news/171527">曾大規模攻擊企業組織與大學</a></strong>，利用零時差漏洞<strong><a href="https://www.ithome.com.tw/news/171553">CVE-2025-61882</a></strong>，該弱點存在於Oracle的ERP系統E-Business Suite（EBS），因此，一旦出現利用EBS漏洞的情況，格外受到研究人員的注意。</p> <p>6月29日威脅情報公司Defused Cyber<strong><a href="https://x.com/DefusedCyber/status/2071555353733394618">於社群網站X提出警告</a></strong>，他們首度偵測到有人試圖利用另一個EBS漏洞CVE-2026-46817的情況，由於該漏洞目前尚未有公開的概念驗證程式碼（PoC），因此後續情形相當值得繼續追蹤。CVE-2026-46817存在於EBS子系統Oracle Payments當中的檔案傳輸元件，未經授權攻擊者只要透過HTTP存取就能輕易利用，一旦成功利用該漏洞，就能挾持Oracle Payments，CVSS風險評為9.8分（滿分10分），影響12.2.3至12.2.15版EBS，Oracle於<strong><a href="https://www.ithome.com.tw/news/176313">今年5月的關鍵安全修補更新（CSPU）</a></strong>修補。</p> </div></div></div>
6/30 09:05作者周峻佑https://www.ithome.com.tw/news/176956
中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Palo Alto Networks威脅研究團隊Unit 42<a href="https://unit42.paloaltonetworks.com/cl-sta-1062-tinyrct-backdoor/">追蹤編號為CL-STA-1062的中國駭客攻擊行動</a>，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與<a href="https://www.ithome.com.tw/news/170681">思科威脅情報團隊Talos先前揭露代號UAT-7237</a>，並曾攻擊臺灣網站代管基礎設施的是同一批攻擊者。研究人員指出，該攻擊行動至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。</p> <p>該批攻擊者在2025年9月入侵一個東南亞政府機關，部署可遠端下指令的網頁後門程式，並竊取資料庫資訊。UAT-7237也對同一國家的另一個政府機關進行網路偵察，研判是在尋找進一步橫向移動的機會。到了2025年10月至12月，Unit 42觀察到東南亞至少10個組織疑似遭入侵。</p> <p>Unit 42在能源關鍵基礎設施受害案例中觀察到，攻擊者會先掃描目標環境漏洞，接著受害網路出現連往攻擊者伺服器的連線，並下載SoftEther VPN元件與包含攻擊工具的RAR壓縮檔，以維持連線、在內部網路移動，或整理準備竊取的資料。</p> <p>攻擊者通常先利用網頁應用程式弱點植入ASPX網頁後門，藉此執行系統命令、投放工具與蒐集主機資訊，之後再視目標環境搭配開源工具與客製化惡意程式。研究人員從攻擊者基礎設施重建TinyRCT感染鏈，發現攻擊者會以惡意壓縮檔chrome_setup.zip夾帶合法簽章執行檔、惡意設定檔與惡意程式庫。</p> <p>在使用者解壓縮並執行其中合法簽章的chrome_setup.exe後，.NET執行環境會讀取旁邊的惡意設定檔，載入惡意DLL。該載入器接著下載TinyRCT，將其存為本機應用程式資料夾%LOCALAPPDATA%路徑下的PerfWatson2.exe，並建立仿冒Google Updater名稱的排程任務維持執行。TinyRCT是以C#撰寫的Windows遠端控制木馬，可讓攻擊者執行系統命令、列出檔案、讀取文字檔、下載檔案、外傳檔案、擷取螢幕畫面，並在需要時刪除自身痕跡。</p> <p>TinyRCT具備反分析設計，執行時會檢查自己是否位於%LOCALAPPDATA%路徑，若不是，就會立即結束，降低在沙箱或研究人員分析環境中暴露行為的機會。</p> </div></div></div>
6/29 19:08作者李建興https://www.ithome.com.tw/news/176945
Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週歐洲刑警組織（Europol）發表<strong><a href="http://www.ithome.com.tw/news/176899">執法行動Operation Endgame最新一波成果</a></strong>，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，<strong><a href="https://blogs.microsoft.com/on-the-issues/2026/06/24/scaling-cybercrime-disruption-through-innovation-and-ai/">也透露本次打擊網路犯罪與過往的最大不同</a></strong>，他們針對的是網路攻擊供應鏈，而非單一惡意程式服務。</p> <p>微軟指出，這次的執法行動是針對網路犯罪的組裝線（assembly line），Amadey和StealC經常被攻擊者同時使用，他們透過Amadey取得裝置存取權，然後利用StealC竊取密碼和敏感資訊，它們構成了攻擊鏈裡的關鍵環節。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。</p> <p>值得一提的是，這次該公司借助AI的力量進行分析，將原本需要數小時甚至是數天的調查流程，縮短至幾分鐘，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。微軟癱瘓逾200臺C2伺服器，讓駭客無法控制受害電腦、竊取資料，或執行其他攻擊行動。</p> </div></div></div>
6/29 17:16作者周峻佑https://www.ithome.com.tw/news/176943
攻擊者濫用OpenAI組織邀請，偽冒企業租戶誘員工加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Push Security近期<strong><a href="https://pushsecurity.com/blog/openai-poisoned-tenant-attack">遭遇一起OpenAI組織邀請功能濫用事件</a></strong>。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。</p> <p>Push Security表示，相關邀請信來自OpenAI正式通知地址[email protected]，通過標準電子郵件驗證，內容也使用OpenAI品牌與組織邀請格式。OpenAI信件中雖然顯示提醒，指出邀請者的gmail.com網域與收件者所屬的pushsecurity.com不相符，但該提醒只出現在信件中的一行文字，容易被使用者忽略。</p> <p>該公司調查後發現，攻擊者使用與Push Security無關的電子郵件帳號建立組織，並在組織中使用Push Security執行長姓名。受邀員工被設定為Owner角色，具有組織管理權限，帳務設定中也已綁定Visa信用卡。Push Security認為，這顯示攻擊者投入一定準備，包括偵察特定員工、建立看似可信的企業租戶，以及移除使用過程中可能引起懷疑的付費障礙。</p> <p>Push Security基於調查事件目的，接受其中一封邀請後發現，只要點擊電子郵件中的連結即可加入該組織，不需要額外輸入帳密或完成其他驗證。研究人員進入組織後，確認其他受邀員工仍處於邀請待回應狀態，未加入也未使用該租戶，因此沒有發現資料外洩跡象。該公司隨後建立郵件規則，封鎖類似邀請信再次送達員工信箱。</p> <p>由於攻擊者並非偽造OpenAI郵件，而是濫用平臺本身提供的合法邀請機制，若員工誤以為公司已建立正式OpenAI組織，並開始在其中輸入程式碼、內部文件、客戶資料、資安研究或策略資訊，攻擊者作為組織管理員，可能掌握相關使用紀錄、API互動，以及員工在提示或請求中輸入的資料。</p> <p>Push Security將此事件視為毒化租戶攻擊（poisoned tenant attack）案例，也就是攻擊者先在SaaS平臺建立偽冒目標企業的租戶，再引導員工加入。該公司指出，隨著AI服務成為企業日常工作入口，組織邀請、共享專案與平臺通知等功能，也可能成為社交工程與資料蒐集的新管道。</p> </div></div></div>
6/29 17:35作者李建興https://www.ithome.com.tw/news/176942
【資安日報】6月29日，美國將以政府採購帶動PQC產業升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176936#WhiteHouse">白宮發布行政命令，將以政府採購推動美國PQC產業</a></p> <p>● <a href="https://www.ithome.com.tw/news/176936#Anthropic">美國傳出部分解除Anthropic Claude Mythos出口禁令</a></p> <p>● <a href="https://www.ithome.com.tw/news/176936#StrikeShark">大規模攻擊行動StrikeShark臺灣有政府機關遭到入侵</a> <a id="WhiteHouse" name="WhiteHouse"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176928"><span style="font-size: 22px;"><strong>美國PQC行政命令將以政府採購推動產業升級</strong></span></a></p> <p>美國總統川普於6月22日簽署行政命令，要求聯邦政府加速推動後量子密碼學（PQC）遷移，並設定2030年為重要里程碑。該行政命令要求各聯邦機關盤點高價值資產及高影響系統使用的公開金鑰密碼，建立密碼學的資產盤點機制，並規畫遷移時程。其中，高價值資產及高影響系統須在2030年底前完成後量子金鑰建立機制（Key Establishment）的部署，並於2031年底前完成後量子數位簽章遷移；國家安全系統由美國國家安全局（NSA）另行推動。<a href="https://www.ithome.com.tw/news/176928">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176933"><span style="font-size: 22px;"><strong>澳洲通訊局ASD規畫新版企業資安指引，將取代Essential Eight框架</strong></span></a></p> <p>澳洲通訊局（ASD）正推動新版企業資安指引架構。ASD旗下澳洲網路安全中心（ACSC）於6月15日發布公告，宣布針對Essential Eight資安框架的演進展開公開諮詢，第一階段將推出Essentials系列的企業IT指引Essentials for enterprise IT。根據澳洲科技媒體iTnews報導，ACSC網路安全韌性主管Chris Horlyck表示，ASD規畫在未來的約兩年內，將澳洲政府與企業長期採用的資安基準Essential Eight框架進行汰換。<a href="https://www.ithome.com.tw/news/176933">詳全文</a> <a id="Anthropic" name="Anthropic"></a></p> <p><a href="https://www.ithome.com.tw/news/176921"><span style="font-size: 22px;"><strong>美國政府傳部分解除Anthropic Claude最強大模型的出口管制</strong></span></a></p> <p>美國商務部傳出於6月26日收回部分禁止Anthropic Claude最新模型技術出口的命令，允許其向約100多家政府及企業組織提供Mythos模型。美國商務部長Howard Lutnick致函Anthropic共同創辦人Tom Brown說明其決定，表示商務部認為已有適當安全防護，已允許特定信賴合作夥伴存取Claude Mythos 5模型，包括美國政府核准的公司和聯邦機關，不過，美國政府仍未解除Claude Fable 5向外國輸出的禁令。美國政府與Anthropic未對此消息評論。<a href="https://www.ithome.com.tw/news/176921">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176923"><span style="font-size: 22px;"><strong>OpenAI預覽GPT-5.6新增代理人協同、max推理等級，先對部分合作夥伴釋出</strong></span></a></p> <p>6月26日OpenAI發表最新模型GPT-5.6系列的預覽，包含旗艦模型Sol、適用日常業務的標準模型Terra及低價版本Luna。美國政府要求下，最新GPT-5.6模型僅提供給少部份合作夥伴。OpenAI強調新模型的網路安全能力。例如在漏洞研究和漏洞濫用標竿測試（ExploitBench）上，和Anthropic Mythos Preview相比，GPT-5.6 Sol只需三分之一的權杖（token）達到相同效能。在另一測試（ExploitGym）表現上，三個新模型全部超越GPT-5.5及GPT-5.4版。<a href="https://www.ithome.com.tw/news/176923">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176934"><span style="font-size: 22px;"><strong>Linux基金會成立Akrites計畫，因應AI加速開源漏洞攻擊風險</strong></span></a></p> <p>6月25日Linux基金會宣布，攜手AWS、Anthropic、Chainguard、Cisco、Google、IBM、微軟、GitHub、Nvidia、OpenAI、Red Hat、Rust基金會、Sonatype、Zscaler等業者或機構，成立開源安全協調計畫Akrites，建立跨產業的開源軟體漏洞協調機制，因應AI加速漏洞發現所帶來的修補壓力。此計畫將建立共享的安全事件應變團隊（SIRT），並提供標準化的漏洞揭露流程（CVD），協助開源專案在漏洞公開前完成驗證、修補與揭露協調。<a href="https://www.ithome.com.tw/news/176934">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176914"><span style="font-size: 22px;"><strong>Palo Alto Networks參與企業開源軟體供應鏈安全服務Project Lightwell</strong></span></a></p> <p>5月底IBM與紅帽（Red Hat）宣布，推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，兩年前買下IBM QRadar SaaS業務的資安公司Palo Alto Networks，近日也加入Project Lightwell，以擴大該服務的防禦範圍。Palo Alto Networks將會提供虛擬修補能力，以達到提供快速的網路防護與軟體修補能力，協助企業降低新興威脅帶來的風險曝露，並將防守的範圍，從開源軟體、商業應用程式，延伸到操作科技（OT）與醫療保健技術等領域。<a href="https://www.ithome.com.tw/news/176914">詳全文</a> <a id="StrikeShark" name="StrikeShark"></a></p> <p><a href="https://www.ithome.com.tw/news/176924"><span style="font-size: 22px;"><strong>中國駭客從事攻擊行動StrikeShark，臺灣有政府機構名列受害範圍</strong></span></a></p> <p><a href="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基近日揭露中國駭客的攻擊行動StrikeShark，這些駭客利用名為SharkLoader的惡意程式，企圖於受害組織植入Cobalt Strike的Beacon，受害範圍包含臺灣政府機構、印尼外交機構，以及多個國家的軟體開發公司，此外，卡巴斯基也在香港、黎巴嫩、敘利亞、哥倫比亞、北馬其頓、尼泊爾、塞爾維亞等其他國家發現相關攻擊行動。其中，在針對臺灣政府機構的資安事故裡，他們利用了即時通訊伺服器Openfire的身分驗證繞過漏洞CVE-2023-32315。<a href="https://www.ithome.com.tw/news/176924">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176929"><span style="font-size: 22px;"><strong>FBI與CISA更新Signal通訊軟體釣魚攻擊警示，備份金鑰成為俄羅斯駭客最新攻擊目標</strong></span></a></p> <p>針對3月下旬發布的Signal通訊軟體釣魚攻擊警示，美國聯邦調查局（FBI）與網路安全與基礎設施安全局（CISA）於6月26日更新警示內容，指出與俄羅斯情報機構有關的駭客組織已調整攻擊方式，新增誘導受害者提供Signal備份復原金鑰（Backup Recovery Key）的手法，藉此存取受害者訊息紀錄並接管帳號。攻擊者會偽裝為Signal客服帳號，向受害者發送啟用備份功能的訊息，並要求受害者提供備份復原金鑰。<a href="https://www.ithome.com.tw/news/176929">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176917"><span style="font-size: 22px;"><strong>緬甸AYA Bank證實舊系統遭駭，駭客組織LAPSUS$宣稱竊取120 GB資料</strong></span></a></p> <p>銀行舊版應用程式安全成焦點，在6月25日，緬甸伊洛瓦底銀行（AYA Bank）透過公司網站及臉書粉絲專頁發布資安公告，證實其舊版應用程式入口網站遭到未經授權存取，導致部分非財務性質的申請紀錄外洩。AYA Bank在聲明中強調，銀行的核心金融系統、AYA Pay支付系統及信用卡與金融卡管理系統，均未與受此事件影響的舊版入口網站直接連線，因此核心業務未受波及。銀行表示目前所有財務資料安全無虞，各項金融服務均維持正常運作。<a href="https://www.ithome.com.tw/news/176917">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176903"><span style="font-size: 22px;"><strong>南非殯葬與保險巨頭遭駭導致服務中斷，改人工作業並證實個資外洩</strong></span></a></p> <p>南非知名殯葬服務與保險機構AVBOB傳出遭網路攻擊，導致服務中斷與資料外洩。當地ITWeb等商業科技媒體於6月8日報導指出，AVBOB已確認該網路攻擊事件導致其部分服務中斷，並強調各單位仍維持營運，在這段受影響的期間，可透過人工方式辦理付款、理賠登記和喪葬安排等事項。隨後AVBOB進一步揭露事故細節，目前民眾進入該公司官方網站，即可看見資料外洩公告的彈出視窗，當中說明這起事故的發現是在5月30日。<a href="https://www.ithome.com.tw/news/176903">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176905"><span style="font-size: 22px;"><strong>23個OpenClaw技能外掛利用搶註手法上架ClawHub官方市集</strong></span></a></p> <p><a href="/sites/default/files/images/8x0zbtuT3uqoN0ylk9uozFMzM4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/8x0zbtuT3uqoN0ylk9uozFMzM4-63.jpg" style="width: 300px; float: right;" /></a></p> <p>AI代理安全業者Manifold Security檢查ClawHub技能延伸套件市集時，發現有疑似冒用知名開發商品牌的外掛。他們發現OpenClaw外掛目錄中的1,508個外掛裡，有557個的開發者並未經過驗證，其中有23個假借OpenClaw與ClawHub的名義發行。Manifold Security指出，這些外掛未必是惡意程式，但透過命名空間搶註（scope squatting），這些第三方外掛可以冒充官方外掛藉此引發供應鏈風險，使不知情的開發商或將之加入自己的App流程，ClawHub於6月17日獲報後已強化管制措施。<a href="https://www.ithome.com.tw/news/176905">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176927"><span style="font-size: 22px;"><strong>Open VSX出現GlassWorm蠕蟲變種GlassWASM</strong></span></a></p> <p><a href="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" style="width: 300px; float: right;" /></a></p> <p>具自我散布能力的蠕蟲GlassWorm從去年10月開始活動，並在Visual Studio Code（VS Code）、Open VSX延伸套件市集橫行，然而就在上個月資安公司CrowdStrike與Google合作，破壞此蠕蟲程式的基礎設施後，近期已出現變種版本。資安公司Socket於6月16日指出，他們在Open VSX發現兩個有問題的VS Code延伸套件exargd/[email protected]、noellee-doc/[email protected]，駭客在套件裡嵌入WebAssembly惡意軟體GlassWASM。<a href="https://www.ithome.com.tw/news/176927">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176913"><span style="font-size: 22px;"><strong>Linux被揭露新的本機權限提升漏洞DirtyClone，CVSS嚴重度評分高達8.8分</strong></span></a></p> <p>6月尾聲又有兩個Linux本機權限漏洞研究結果揭露，其中一個是6月25日浮出檯面的DirtyClone，這個漏洞由近年積極布局DevSecOps領域的軟體供應鏈平臺業者JFrog發現，5月19日通報Linux核心的維護人員，到了5月21日之後，此漏洞修補程式已合併至Linux核心的主線版本v7.1-rc5，並為其指派漏洞編號為CVE-2026-43503，CVSS 3.1嚴重性評分為8.8分，屬於高風險漏洞，任何無特權的本機使用者均可藉此操弄Linux頁面快取，進而獲取root存取權限。<a href="https://www.ithome.com.tw/news/176913">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176912"><span style="font-size: 22px;"><strong>Linux存在新的本機權限提升漏洞pedit COW，搭配5.18版至 7.1-rc6版核心的系統均可能受影響</strong></span></a></p> <p>今年5月爆發一連串Linux本機權限提升漏洞，例如，Copy Fail、DirtyFrag、Fragnesia，6月底又出現這類型漏洞的揭露，威脅情報平臺廠商Threat Landscape最新發表的漏洞研究，代號為pedit COW，編號是CVE-2026-46331，CVSS嚴重度評分為7.3分，被評為高風險漏洞，Threat Landscape發現當中的問題存在Linux核心的流量控制（traffic control，tc）子系統，一旦此漏洞遭到成功利用，本機使用者即可繞過多種安全控制，獲得完整的root權限。<a href="https://www.ithome.com.tw/news/176912">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176911"><span style="font-size: 22px;"><strong>Google一週內二度發布Chrome 149穩定版更新，修補3項高風險漏洞</strong></span></a></p> <p>6月23日Google發布Chrome瀏覽器更新，不料短短兩天後，突然又釋出新版本，電腦版更新至149.0.7827.200與149.0.7827.201，Android版本更新至149.0.7827.200，總共納入3項資安漏洞的修補。其中，CVE-2026-13281的問題出在Chrome核心的跨處理程序通訊框架Mojo，存在整數溢位的缺陷，CVE-2026-13282與CVE-2026-13283皆為記憶體已釋放卻仍被使用（UAF）類型的問題，分別發生在Chrome Android版的Payments元件與AdFilter元件。<a href="https://www.ithome.com.tw/news/176911">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176925"><span style="font-size: 22px;"><strong>Google發布ChromeOS長期支援版更新，修補5項記憶體相關重大漏洞</strong></span></a></p> <p>ChromeOS作業系統長期支援版LTS-144的更新144.0.7559.256於6月25日上線，並修補24項漏洞，當中分別有5項漏洞被評為有重大風險，18項有高風險，1項有中度風險。前述漏洞中，CVE-2026-12440的CVSS嚴重性評分最高，達到9.6分，存在於數位身分憑證元件Digital Credentials，屬於記憶體已釋放卻仍被使用（UAF）問題。其次是CVE-2026-13033、CVE-2026-12439與CVE-2026-12441等3項，CVSS嚴重性評分都達到8.8。<a href="https://www.ithome.com.tw/news/176925">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176824"><span style="font-size: 22px;"><strong>金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性</strong></span></a></p> <p>金管會近期發布「金融業後量子密碼（PQC）遷移參考指引」，提出金融機構規畫後量子密碼遷移的整備方向，並提出治理機制、密碼技術盤點、加密敏捷性、生態系協作、供應鏈管理等7大策略，建議從2026年至2035年分階段遷移。金管會指出，金融服務高度依賴身分驗證、交易簽章、跨機構介接及資料保護機制，隨著量子運算能力提升，現行公鑰密碼未來可能遭破解，金融機構若未及早規畫，將面臨交易安全、資料機密性及營運穩定性的風險。<a href="https://www.ithome.com.tw/news/176824">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176804"><span style="font-size: 22px;"><strong>北市以OpenClaw打造公務AI助理CiviClaw</strong></span></a></p> <p>臺北市政府積極推動AI導入政府治理，資訊局近期對外發表公務AI助理專案「CiviClaw」，以代理AI協助公務員處理行政工作，更採用開源Agent框架、私有化部署及人類最終決策，在提升行政效率的同時，兼顧資安、治理與可課責性。基於資安優先的原則，資訊局將系統置於沙盒（Sandbox）環境運作，並且嚴格控管工具權限。為了因應AI常見的「幻覺」問題，北市府嚴格限制AI讀取市府的JSON資料，確保基於事實產生內容。<a href="https://www.ithome.com.tw/news/176804">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176890"><span style="font-size: 22px;"><strong>AI治理勢在必行！Gartner警告2028年企業AI程式開發成本將超越開發者平均薪資</strong></span></a></p> <p>隨著企業擴大採用大型語言模型（LLM）驅動的AI程式開發代理（AI coding agents），相關工具的token消耗量也會持續增加。若供應商的收費模式持續從席次授權制轉為依用量計算，到了2028年，企業的AI程式開發成本將超過開發者平均薪資。Gartner建議，企業應界定AI程式開發代理的適用範圍，並依任務複雜度選擇模型，將高階模型保留給複雜且高價值的開發工作。企業應落實脈絡工程（context engineering），並建立token使用門檻與自動監控機制。<a href="https://www.ithome.com.tw/news/176890">詳全文</a></p> <p><a href="https://www.ithome.com.tw/review/176745"><span style="font-size: 22px;"><strong>Intel新網卡支援更完善的SPDM裝置見證</strong></span></a></p> <p>英特爾於2026台北國際電腦展期間，推出E835系列伺服器網路控制器與網路卡，最高支援200 Gb/s傳輸速度，內建已簽署的韌體（安全韌體更新）、安全開機，以及遵循NIST SP 800-193平臺韌性指南的矽信任根（Root of Trust，RoT），並採用遵循Commercial National Security Algorithm（CNSA）1.0規格的 RSA3K/SHA2-384加密演算法（韌體映像採用RSA3K的數位簽章進行簽署與驗證），以及符合FIPS 140-3 level 1的標準。<a href="https://www.ithome.com.tw/review/176745">詳全文</a></p> </div></div></div>
6/29 14:39作者周峻佑https://www.ithome.com.tw/news/176936
波蘭破獲SIM Swap犯罪集團，透過接管門號竊取數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cbzc.policja.gov.pl/bzc/aktualnosci/975%2CCzlonkowie-grupy-przestepczej-w-rekach-CBZC-wsparcie-agentow-FBI-oraz-HSI.html" target="_blank">波蘭中央網路犯罪局（CBZC）上周四（6/25）宣布</a>，在美國聯邦調查局（FBI）及國土安全調查局（HSI）協助下，逮捕4名涉嫌從事SIM Swap（SIM卡置換）攻擊的犯罪集團成員。</p> <p>警方表示，嫌犯利用專業軟體及社交工程，入侵與電信業者合作企業的資訊基礎設施及員工電子郵件，取得發動SIM Swap攻擊所需資料。SIM Swap是指非法將受害者手機門號轉移至攻擊者控制的SIM卡或eSIM，藉此接管受害者門號。</p> <p>取得門號控制權後，犯罪集團便可攔截受害者的SMS簡訊及電子郵件驗證訊息，進而登入或接管其加密貨幣交易所等帳號，並大量竊取其中的數位資產。警方估計，相關贓款經由多個銀行帳戶、國際支付平臺及多幣別數位錢包轉移，金額超過數千萬波蘭幣（約500萬美元）。</p> <p>4名嫌犯目前皆已遭法院裁定羈押，面臨參與有組織犯罪集團、非法入侵資訊系統竊盜及洗錢等罪名，最高可判處25年有期徒刑。</p> </div></div></div>
6/29 15:30作者陳曉莉https://www.ithome.com.tw/news/176939
Swift編譯器核心元件現可用Swift實作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple主導開發的Swift程式語言編譯器開發規則出現調整，更多核心元件將可直接用Swift實作。<strong><a href="https://forums.swift.org/t/dropping-the-requirement-for-c-only-bootstrapping/87739">Swift編譯器開發者Erik Eckstein於Swift論壇宣布</a></strong>，從現在起，Swift編譯器主分支中被列為必要的部分，也可改以Swift撰寫，包括語法解析器、抽象語法樹、型別檢查器，以及必要的SIL處理流程。該變更主要影響Swift編譯器本身的開發方式，並非一般開發者可直接使用的新語法或新功能。</p> <p>編譯器是把程式碼轉成電腦可執行內容的工具，Swift過去雖然已在部分編譯器元件使用Swift，但範圍主要限於較不會影響標準函式庫正確產生程式碼的部分，例如部分最佳化流程。在本次放寬後，Swift可用於更核心的編譯流程，讓Swift專案能夠用自己的語言來開發更多編譯器功能。</p> <p>而這項調整也改變了Swift編譯器的建置條件，Swift專案過去要求，在沒有Swift主機端編譯器的情況下，也能只靠C++主機端工具鏈完成自我編譯（bootstrapping），也就是先建置出可用的Swift編譯器，再用來建置後續版本。按照新的方向，往後要建置Swift編譯器，系統上必須已有Swift工具鏈。</p> <p>Erik Eckstein說明，若新平臺還沒有可用的Swift主機端工具鏈，仍可先用Swift 6.4編譯器完成自我編譯。Swift 6.4會是最後一個不需要Swift主機端編譯器也能完成初始建置的版本，在新平臺上建出Swift 6.4編譯器後，該編譯器就能作為後續版本建置所需的Swift工具鏈。</p> <p>論壇中有開發者詢問C++語法解析器是否很快會被淘汰，Erik Eckstein回應，變更僅代表部分元件可以被取代，不代表現有C++實作會立刻消失。至於未來Swift編譯器支援哪些舊版Swift主機端編譯器來建置，Erik Eckstein也表示目前尚未有明確政策。</p> </div></div></div>
6/29 15:32作者李建興https://www.ithome.com.tw/news/176937
研究人員揭露WARP攻擊，可透過Reddit等內容誤導AI研究代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arxiv.org/abs/2605.24245" target="_blank">美國康乃爾大學研究團隊近日發布研究報告</a>，提出了名為WARP（Web Agent Retrieval Poisoning）的新型攻擊手法，指出駭客可透過在Reddit及Wikipedia等使用者生成內容（User-Generated Content，UGC）平臺加入少量惡意內容，誤導AI研究代理（Deep Research Agent）的搜尋與分析結果，使AI將虛構產品、服務或投資標的納入最終報告或推薦內容。</p> <p>研究團隊指出，AI研究代理正逐漸取代傳統搜尋，使用者不再只是取得網頁連結，而是期待AI直接整合多個來源並產出完整報告。然而，這類系統高度依賴開放網路內容，經常引用Reddit、Wikipedia及社群論壇等使用者生成內容，一旦來源被惡意修改，AI便可能把玩笑、假資訊或惡意內容納入答案，例如Google AI Overview曾因引用Reddit上的舊玩笑，建議使用者於披薩醬中加入膠水。</p> <p>研究團隊以176個真實查詢情境進行測試，主題涵蓋帳號取消、餐廳推薦、投資建議及交友服務等，並選用STORM、Co-STORM及OmniThink等開源AI研究代理作為實驗對象。研究人員發現，這些系統在搜尋與整理資料時，有17%至23%的網址來自Reddit、YouTube、Facebook、Wikipedia、Medium、Quora等使用者生成內容，其中Reddit占UGC來源的比例最高，約54%至71%。</p> <p>此外，這類AI研究代理在處理相近問題時，常會反覆查詢到同一批Reddit討論串或UGC頁面。這代表駭客不必大規模污染網路內容，只要在少數經常被AI查到的頁面加入惡意文字，就可能影響多個相近問題的研究結果。</p> <p>研究團隊為此建立GeoStorm模擬框架，用來攔截開源AI研究代理的檢索流程。當STORM、Co-STORM或OmniThink自然查到研究人員設定的目標Reddit或UGC頁面時，GeoStorm會在回傳內容中附加投毒文字，模擬駭客於公開討論串留言或修改內容的情境；若代理沒有查到該頁面，GeoStorm則不會介入，因此實驗並未強迫AI引用特定來源，也沒有實際污染公開網路內容。</p> <p>結果顯示，一旦AI研究代理讀到遭投毒的UGC內容，惡意文字就可能被納入最終報告。研究團隊在實驗中使用虛構的加密貨幣BananaCoin、交友App SilverPath及取消訂閱服務CancelEase作為投毒目標，並將約80至120字的投毒內容加入完整Reddit討論串；即使投毒內容占整體頁面不到4%，STORM、Co-STORM及OmniThink仍在30%至53%的測試中提及這些虛構產品或服務。</p> <p>研究團隊指出，WARP不需入侵AI模型或服務供應商，而是利用AI研究代理對公開網路內容的信任。對於ChatGPT Deep Research及Gemini Deep Research等已大量整合網路資料的服務而言，如何判斷來源可信度，將是AI代理安全的重要課題。</p> </div></div></div>
6/29 15:43作者陳曉莉https://www.ithome.com.tw/news/176940
從DevSecOps走向信任設計，酷澎：資安更大的目標是消除使用者不確定感
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「資安是我們以前的工作，現在則延伸到使用者信任。」酷澎數位信任部門全球資安總監Stanley Chou表示。酷澎去年將資安部門的名稱，直接改成數位信任部，「我們資安長希望擴大『資安』的內涵，不只局限於安全，而是要打造出一個足以讓人信任的數位環境。」Stanley談的不只是個人職務的變化，更反映了資安角色定位的轉變。</p> <p>過往酷澎的資安部門花了很多力氣導入DevSecOps，盡可能將安全思維左移到開發生命週期的上游需求端，來提高系統開發的安全。「DevSecOps是確保系統能在安全的基礎上開發，」Stanley話鋒一轉，「但光談資安，不能消除使用者的不確定感（Uncertainty），不確定性才是使用者感到無法信任的原因。」資安部門經常被使用單位詢問，這套系統夠不夠安全？這就是使用者無法感到信任的典型例子。</p> <p>「信任可以被設計，也就是Trust Design的概念。」Stanley解釋，以確保系統安全的DevSecOps為基礎，信任設計進一步延伸到三件事，一方面能確保資安變得可以理解（Understandable），也能驗證使用者的不確定感確實消除了，更關鍵的是要建立信任體驗的閉環，可以不斷改善。尤其隨著AI大量出現在各種資訊系統後，AI的特性是機率，也就是一種不確定性，信任的概念也越來越重要。</p> <p>Stanley指出，信任不是要求使用者盲目地相信你，而是要減少使用者的不確定感。「為了讓信任持續維持，需要建立量測方法，才能優化，這是信任設計的起點，將不確定性，轉化成一個清楚、可量測，且可以維持一致的信任承諾（trust commitment）。」</p> <h3><span style="color:#B22222;"><strong>信任設計三大步驟：先找出關鍵場景，挖掘信任失效模式，再建立信任承諾</strong></span></h3> <p><img alt="" src="/sites/default/files/images/%E4%BF%A1%E4%BB%BB%E8%A8%AD%E8%A8%88-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>他建議從3個步驟展開信任的設計，第一步要先定義關鍵場景，再找出信任失效的模式，最後是建立信任承諾。</p> <p>如何找出關鍵場景，他以酷澎所在的電商產業為例，從顧客與系統互動行為的分析，找出不確定性特別高的場景，尤其是顧客會遲疑、猶豫的環節，特別是涉及敏感資料的場景，例如，建立帳號要輸入密碼時，填寫個資時，輸入信用卡卡號時。這些都是B2C服務的關鍵場景，可能讓使用者產生高度的不確定感。</p> <p>另外一種關鍵場景是重大決定的行為，像是電商顧客旅程中，最大的決策就是最終的付款。顧客常把商品留在購物車中，遲遲不結帳，因為結帳代表訂單成立這是關鍵決定，當顧客不確定感特別高時，就不會輕易做決定。</p> <p>找出關鍵場景後，接著要找出這些場景中的信任失效模式。</p> <p>信任失效不只是系統弱點或漏洞，需要透過多輪問答或訪談，來了解隱藏在使用者背後的真正原因。不只是知道「使用者覺得你不安全」，更要找出使用者從事這個行為時，為何覺得不安全？</p> <p>例如使用者為何覺得填寫密碼不安全，可能因為他在其他關鍵服務用了同一組密碼，因將自己的秘密分享給你，才感到不安。「必須不斷了解，找出使用者心中深層的不安感。」他強調。</p> <p>另外一個技巧是，借重DevSecOps慣用的威脅建模方式，從攻擊場景出發，思考哪些攻擊可能造成使用者的不安感，進而找出信任失效模式。盤點出各個關鍵場景的信任失效模式後，第三步，就是建立明確的信任承諾。Stanley建議，可借重常見的使用者故事來描述承諾的內容。<br /> 他舉例，「作為一個使用者，我不相信這個系統，因為它在某些關鍵場景中，可能有信任失效的可能性，導致我產生不安感。因此，我們的系統一定要設計出對應能力，讓使用者可以產生信賴感。」</p> <p>建立信任承諾就完成初步的信任設計，下一步要驗證這樣的設計，Stanley分成三個維度來取得驗證所需的證據。第一是邊界（Boundary）。不能無限制地擴大信任圈，必須設立邊界，定義出信任能力想要涵蓋的範圍，防護的起點和終點，才能驗證這個範圍的信任有效性。</p> <p>第二個維度是保證（Assurance），確定系統可以做到信任承諾中所描述的運作行為。可以透過量化指標或質化紀錄，來證明系統的有效性。最後一個驗證維度是韌性（Resilience），要確信這樣的信任承諾，可以維持一定的功效。</p> <p>確定信任設計的功效後，就能持續優化。尤其是運用指標偵測信任是否產生偏移，不要等到信任崩解後才發現，一旦指標呈現和原本想要解決的不確定性不一致，就要找出信任承諾偏移的原因，重新校準你的信任設計。</p> <p>像是使用者擔心的不確定性，已不在原先所定義的邊界中，或是某個安全機制遭遇新流行的攻擊而失效，導致使用者失去信心，都可能導致使用者信任的偏移。Stanley提醒，校準不是增加更多安全控制機制，而是重新對齊想要達成的信任承諾，是否需要重建或調整。</p> <p>從找出信任承諾，驗證信任到維持信任的韌性，這是酷澎設計新系統的信任設計心法。Stanley更以酷澎和數發部合作，導入FIDO2的Passkey（免密碼登入）應用為例，來介紹如何實作信任設計思維。</p> <h3><span style="color:#B22222;"><strong>用信任設計打造FIDO2的Passkey應用</strong></span></h3> <p>去年，酷澎資安團隊和產品團隊協作，完成平臺對Passkey功能的支援。這項功能的關鍵場景是，使用者登入系統時需證明身分，最常見做法是輸入帳號密碼，但這也是使用者容易遲疑的場景，不少人會使用和其他網站相同的帳密，就算系統方搭配雙因素驗證或簡訊OTP，使用者仍會擔心自己的密碼遭到中間人攔截。</p> <p><img alt="" src="/sites/default/files/images/%E4%BF%A1%E4%BB%BB%E8%A8%AD%E8%A8%88%E6%A1%88%E4%BE%8B-Passkey-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>在登入階段輸入密碼的關鍵場景中，信任失效模式是什麼，酷澎透過多次腦力激盪活動，歸納出真正讓使用者產生不安感的是「秘密共享」，密碼可能遭到暴力破解，或近年常見的撞庫（Credential Stuffing）攻擊。攻擊者拿到一家公司的帳密，會用來嘗試其他家的服務。就算採用2FA防護，攻擊者也可能透過釣魚來取得OTP驗證碼，或透過中間人攻擊假冒使用者身分。這些信任失效的模式，造成了使用者對登入行為的不安感。</p> <p>如果所有請求都能做到來源驗證，就不怕中間人假冒，再加上採用非對稱式驗證，使用者不需提供私鑰，就不會將秘密分享給系統端。只要用公開金鑰來驗證，就能確定是不是使用者本人。這正是酷澎採用FIDO2來驗證身分的原因。</p> <p>FIDO2可以將使用者私鑰儲存在個人手機中，大幅降低了採用門檻，再加上酷澎會對使用者用手機所簽署的回傳內容進行驗證，等於做到雙向驗證的效果，來避免中間人假冒。</p> <p>追蹤Passkey最重要的指標，Stanley認為主要有兩個，使用者採用率和實際使用率。酷澎導入Passkey機制至今，已經產生超過50萬把Passkey金鑰，還在持續成長中，尤其是新顧客採用比例很高。顧客實際使用Passkey的數據也很高，代表身分驗證機制運作順利。</p> <p>如何持續優化這樣的信任設計，Stanley下一步想要強化Passkey 建立階段的安全，像是補強 Passkey 建立之前的身分驗證，來確保真的是本人所建立的有效金鑰。</p> <p>Stanley總結，信任是可以被設計的，從關鍵場景展開，辨識出使用者不信任的根本原因，建立清楚的信任承諾。接著善用指標來驗證信任承諾的有效性，考量邊界、保證和韌性角度來蒐集證據，證明信任承諾的有效性。最後是透過量測指標來監測信任的偏移程度，才能及時補救與校準。</p> <p> </p> </div></div></div>
6/29 14:31作者王宏仁https://www.ithome.com.tw/news/176935
馬來西亞NC4示警，攻擊者利用Joomla JCE漏洞攻擊政府網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬來西亞國家網路安全局（NACSA）旗下國家網路協調與指揮中心NC4於6月26日<strong><a href="https://www.nc4.gov.my/alertAdvisory-detail/NC4-ALR-2026-000004">示警</a></strong>，觀察到多起涉及CVE-2026-48907已知漏洞的攻擊事件，造成多個政府部門網站受到影響。由於<a href="https://www.ithome.com.tw/news/176670"><strong>美國網路安全與基礎設施安全局（CISA）已在6月16日，將此漏洞列入已知漏洞利用清單（KEV）</strong></a>，但當時具體受害者身分未公開，而本次事件則是首批有明確受害單位浮上檯面的案例。</p> <p>馬來西亞的新聞媒體<strong><a href="http://www.thestar.com.my/news/nation/2026/06/28/govt-websites-hacked-says-nacsa#goog_rewarded">星報</a></strong>指出，馬來西亞國家網路安全局（NACSA）表示有多個機關的網站受影響，包括：衛生部、合作社委員會、手工藝發展局、婦女發展局等。為此，該局已經要求被列為國家關鍵資訊基礎設施（NCII）的實體，若發現任何受攻擊跡象，必須依據馬來西亞網路安全法2024（Act 854）向NC4通報，以利國家級的情報共享與協調應變。</p> <p>事實上，上述CVE-2026-48907早在6月5日公開揭露，是Joomla內容編輯器（JCE）擴充功能中的存取控制漏洞。而且該漏洞已在6月3日釋出的JCE Pro 2.9.99.5版修補，後續於6月18日釋出的<a href="https://www.joomlacontenteditor.net/news/jce-pro-2-9-99-7-released">2.9.99.7版</a>，更進一步對此漏洞實施額外的安全強化措施。</p> <p>值得注意的是，專門針對CMS網站提供多站管理與資安鑑識掃描服務平臺的業者mysites.guru<strong><a href="https://mysites.guru/jce-hack/">表示</a></strong>，他們在監測網路上Joomla網站的運行狀態時，於6月9日前已發現此漏洞造成數百個網站受害，隨著此漏洞的概念驗證程式（PoC）被公開，預計會有更多未修補的網站成為目標，同時提醒受害用戶除修補漏洞外，更須完整清查並移除殘留的Webshell與惡意後門。</p> </div></div></div>
6/29 15:18作者羅正漢https://www.ithome.com.tw/news/176938
Google Play新收費制6月30日開跑，美英歐開放第三方支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://android-developers.googleblog.com/2026/06/play-expanded-billing.html" target="_blank">Google上周宣布</a>，將自6月30日起率先於美國、英國及歐洲經濟區（European Economic Area，EEA）實施新收費制度，允許開發者除了使用Google Play Billing外，也可採用第三方支付系統或引導使用者前往自家網站完成交易，同時將原本的抽成拆分為平臺服務費與支付服務費兩部分。</p> <p>Google近年在美國、歐盟及英國等市場面臨反壟斷訴訟與監管壓力，外界長期批評Google Play強制使用自家計費系統並收取高額抽成，限制開發者選擇。<a href="https://android-developers.googleblog.com/2026/03/a-new-era-for-choice-and-openness.html" target="_blank">Google今年3月宣布調整商業模式</a>，並表示已與Epic Games就全球爭議達成和解，6月則進一步公布首波實施細節。</p> <p>Google Play過去對一般App內購買最高抽成30%，年營收前100萬美元及自動續訂訂閱則最低為15%。新制度下，Google將原本合併收取的抽成拆分為平臺服務費（Service Fee）與支付服務費（Billing Fee）。其中，平臺服務費涵蓋Google Play商店、內容審查、安全防護及開發工具等服務；支付服務費則適用於使用Google Play Billing的交易，在美國、英國及EEA為5%，若開發者採用第三方支付或導向自家網站交易，則無須支付這筆費用。</p> <p>除了6月30日率先上路的美國、英國及EEA之外，澳洲預計於9月30日前導入，日本與韓國則預計於今年底前上路，其餘市場預計於2027年9月底前完成部署。</p> <p>此外，Google也同步更新Games Level Up及推出Apps Experience計畫，符合品質與使用體驗要求的App及遊戲，可適用更低的平臺服務費，藉此鼓勵開發者提升Android應用品質。</p> </div></div></div>
6/29 13:20作者陳曉莉https://www.ithome.com.tw/news/176932
澳洲通訊局ASD規畫新版企業資安指引，將取代Essential Eight框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲通訊局（Australian Signals Directorate，ASD）正推動新版企業資安指引架構。<a href="https://www.cyber.gov.au/about-us/view-all-content/news/consultation-on-evolution-of-essential-eight" target="_blank">ASD旗下澳洲網路安全中心（Australian Cyber Security Centre，ACSC）於6月15日發布公告</a>，宣布針對Essential Eight資安框架的演進展開公開諮詢，第一階段將推出Essentials系列的企業IT指引Essentials for enterprise IT。<a href="https://www.itnews.com.au/news/asd-to-retire-essential-eight-cyber-security-framework-within-next-two-years-626851" target="_blank">根據澳洲科技媒體iTnews報導</a>，ACSC網路安全韌性主管Chris Horlyck表示，ASD規畫在未來約兩年內逐步退役現行Essential Eight框架。</p> <p>Essential Eight最早於2017年發布，源自ASD在2012年提出的Top Four安全控制措施，長期作為澳洲政府與企業採用的資安基準。Chris Horlyck指出，Essential Eight的局限主要來自其設計背景，這套框架原本面向本地部署的企業IT環境；隨著企業大量採用雲端服務與軟體即服務（SaaS），許多控制措施已難以直接套用至共同責任模型（Shared Responsibility Model）等部署模式，因此ASD需要建立能適用於不同運作環境的新架構。</p> <p>新版Essentials系列將改採以安全成果（security outcomes）為導向的設計，不再侷限於特定技術控制，而是讓企業依據自身環境選擇適當的防護措施。首波將涵蓋企業IT、營運技術（OT）及雲端環境，未來也可能新增代理型AI（Agentic AI）專屬指引。</p> <p>Chris Horlyck表示，代理型AI帶來新的資安治理需求，例如非人類實體（non-person entities）的存取管理，以及提示注入（Prompt Injection）等攻擊手法，都與傳統企業IT環境有所不同，因此ASD正評估是否將AI納入獨立章節。</p> <p>此外，Chris Horlyck指出，過去Essential Eight成熟度模型會隨新威脅持續調整控制要求，導致部分組織即使實際防護能力未降低，在重新評估時仍可能出現成熟度下降的結果。新版Essentials系列將把防護控制與成熟度模型分開規畫，以提高未來更新與調整的彈性。</p> </div></div></div>
6/29 13:36作者王珮瑤https://www.ithome.com.tw/news/176933
Linux基金會成立Akrites計畫，因應AI加速開源漏洞攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.linuxfoundation.org/press/linux-foundation-and-industry-leaders-launch-akrites-to-defend-critical-open-source-software-against-ai-enabled-cyber-threats">6月25日Linux基金會（The Linux Foundation）宣布</a>，攜手AWS、Anthropic、Chainguard、Cisco、Google、IBM、微軟，以及GitHub、Nvidia、OpenAI、Red Hat、Rust Foundation、Sonatype、Zscaler等業者，成立開源安全協調計畫Akrites，建立跨產業的開源軟體漏洞協調機制，因應AI加速漏洞發現而造成關鍵開源專案日益沉重的修補壓力。</p> <p>Akrites將建立共享的安全事件應變團隊（Security Incident Response Team，SIRT），並提供單一、標準化的協調式漏洞揭露流程（Coordinated Vulnerability Disclosure，CVD），協助開源專案在漏洞公開前完成驗證、修補與揭露協調。Linux基金會指出，頂尖AI模型（frontier AI models）已能在數分鐘內掃描大型開源專案並找出漏洞，降低攻擊者發現與利用漏洞所需的技術門檻。</p> <p>在重大漏洞資訊的處理上，Akrites主張採取保密優先（confidentiality-first）原則，避免尚未修補的漏洞在公開前外洩，或遭攻擊者利用；相關修補仍會回到原始上游專案，由維護者掌握修補方向。若重大的軟體套件已無對其積極進行維護的人員，Akrites也將扮演最後接手維護者（maintainer of last resort），協助維持必要修補作業，讓關鍵開源專案不致因維護人力中斷而停止更新。</p> <p>資安媒體<a href="https://www.securityweek.com/linux-foundation-unveils-new-open-source-security-project-akrites/" target="_blank">SecurityWeek報導</a>指出，Akrites與<a href="https://www.ithome.com.tw/news/176714" target="_blank">Chainguard日前公布的Athena計畫</a>方向相近，後者同樣聚焦於開源漏洞公開前的協調修補。Linux基金會也強調，Akrites的成效不在於修補是否發布，而是修補是否真正部署到實際系統，避免攻擊者在修補公開後，利用AI快速逆向分析漏洞、製作漏洞利用程式並發動攻擊。</p> </div></div></div>
6/29 13:43作者王珮瑤https://www.ithome.com.tw/news/176934
美國PQC行政命令將以政府採購推動產業升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國總統川普於6月22日<a href="https://www.whitehouse.gov/fact-sheets/2026/06/fact-sheet-president-donald-j-trump-secures-the-nation-against-advanced-cryptographic-attacks/" target="_blank">簽署行政命令</a>，要求聯邦政府加速推動後量子密碼學（Post-Quantum Cryptography，PQC）遷移，並設定2030年為重要里程碑。網路基礎設施與雲端服務業者Cloudflare認為，這項政策背後目的之一，是藉由聯邦採購帶動供應商與整體產業升級。</p> <p><a href="https://www.whitehouse.gov/presidential-actions/2026/06/securing-the-nation-against-advanced-cryptographic-attacks/" target="_blank">該行政命令要求</a>各聯邦機關盤點高價值資產（high value asset）及高影響系統（high impact system）使用的公開金鑰密碼，建立密碼學的資產盤點（cryptographic inventory）機制，並規畫遷移時程。其中，高價值資產及高影響系統須在2030年底前完成後量子金鑰建立機制（Key Establishment）的部署，並於2031年底前完成後量子數位簽章（Digital Signatures）遷移；國家安全系統不適用這組公開期限，由美國國家安全局（NSA）依既有機制另行推動。</p> <p>除此之外，這項行政命令也針對不同期限訂定多項工作時程。例如：命令發布後30天內，各聯邦機關負責人須指定PQC遷移負責人（PQC migration lead），並將其姓名及聯絡資訊提交美國行政管理及預算局（OMB）總監及國家網路安全總監。</p> <p>在命令發布後的90天內，行政管理及預算局總監須透過網路安全暨基礎設施安全局（CISA）局長及國家網路安全總監，與國土安全部長協商後發布指引，要求各機關盤點資產與系統，並提出執行計畫，確保高價值資產及高影響系統在2030年底前完成後量子金鑰建立部署、2031年底前完成後量子數位簽章遷移。</p> <p>而在命令發布後的180天內，以及此後每年直至PQC遷移完成，國家安全局（NSA）局長須透過國家安全系統委員會向總統提交國家安全系統PQC遷移進度報告；商務部長則須經由國家標準暨技術研究院（NIST）總監，推動修訂密碼學模組驗證計畫流程，加快密碼學模組驗證作業。聯邦採購法規委員會（FAR Council）也須透過CISA局長及NIST總監，與國土安全部長協商，提出修訂聯邦採購法規（FAR）的擬議規則，要求適用規定的聯邦承包商在2030年底前符合NIST制定的聯邦資訊處理標準（FIPS），包括將NIST核准的後量子密碼演算法納入相關FIPS標準。</p> <p>到了命令發布後的270天內，國土安全部長須透過CISA局長及NIST總監協調，發布公開指引，說明各機關認為密碼學物料清單（Cryptographic Bill of Materials，CBOM）應包含的最低要素，使其能支援硬體及軟體元件密碼學資產的自動盤點與評估。另在同一期限內，聯邦採購法規委員會也須提出另一項修訂FAR的擬議規則，納入承包商漏洞揭露政策（VDP）要求及相關合約條款，確保承包商依據NIST指引實施漏洞揭露政策，並涵蓋密碼學相關漏洞的揭露與通報，包括未採用加密機制，以及使用未經FIPS核准演算法等情形。</p> <p><a href="https://blog.cloudflare.com/post-quantum-eo-2026/" target="_blank">根據Cloudflare分析</a>，美國政府過去曾透過採購政策推動IPv6、DNSSEC以及資源公開金鑰基礎設施（Resource Public Key Infrastructure，RPKI）等技術普及，如今也希望以相同模式，要求聯邦政府新採購的產品與服務，能夠逐步支援符合NIST標準的PQC演算法。行政命令將PQC遷移分為後量子加密與後量子身分驗證兩條路徑，分別對應金鑰建立與數位簽章，反映目前網際網路加密通訊的後量子化進展較多，身分驗證相關機制則仍處於早期部署階段。</p> <p>資安媒體<a href="https://thehackernews.com/2026/06/trump-order-sets-2030-deadline-for.html" target="_blank">The Hacker News則指出</a>，這項行政命令將美國聯邦政府PQC遷移時程推向2030年底，使原本較長期的遷移規畫更具有明確的執行期限。</p> </div></div></div>
6/29 12:23作者王珮瑤https://www.ithome.com.tw/news/176928
SpaceX傳出準備在美國推出Starlink Mobile衛星通訊服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ft.com/content/42af0f15-3aa9-49b7-b429-4a39540af03e?syn-25a6b1a6=1">根據金融時報（Financial Times）的報導</a>，SpaceX正規畫在美國推出供消費者使用的Starlink Mobile衛星行動通訊服務。</p> <p>Starlink Mobile原名Direct to Cell，是SpaceX讓一般LTE手機直接連上Starlink低軌衛星的行動通訊服務，主要用來補足地面基地臺無法涵蓋的偏遠地區。SpaceX今年3月在MWC 2026期間將Direct to Cell更名為Starlink Mobile，目前主要透過T-Mobile等電信業者提供服務。</p> <p>金融時報引述4名消息來源指出，SpaceX總裁暨營運長Gwynne Shotwell是在公司首次公開發行股票（IPO）的路演期間，向投資人說明Starlink Mobile零售服務構想。該報也取得SpaceX債券發行說明書，文件顯示，Starlink Mobile初期主要用於補足偏遠地區的行動網路覆蓋，但隨著衛星星座規模擴大、服務效能提升，SpaceX希望未來不只服務偏遠地區，也能進一步延伸至郊區與城市市場。</p> <p>該報指出，若SpaceX進一步推出Starlink Mobile零售服務，將代表其商業模式從與電信業者合作，轉向直接向消費者提供行動通訊服務，與Verizon、AT&T及T-Mobile等業者展開競爭。不過，分析師對此抱持保留態度，認為SpaceX若要在美國自行建立行動網路，不僅需要投入龐大建置成本，也面臨頻譜資源有限及市場高度飽和等挑戰。</p> <p>SpaceX已於6月12日以SPCX為代號登上那斯達克，以135美元的發行價募集750億美元，創下全球IPO募資新紀錄。當天SpaceX的開盤價為150美元，經歷過一周的蜜月期之後，上周五（6/26）收在153.23美元。</p> <p>Starlink也持續強化其在緊急通訊中的角色。委內瑞拉在6月24日發生規模7.2及7.5雙震，造成嚴重傷亡與通訊中斷，<a href="https://starlink.com/support/article/28779c02-f1cb-4d77-1f75-b947ae179c91" target="_blank">Starlink隨後宣布</a>向災區用戶提供免費衛星通訊服務至7月25日。Starlink過去也曾在2022年俄烏戰爭、2023年夏威夷茂宜島野火，以及2024年美國颶風海倫與米爾頓災後，向受影響地區提供衛星網路支援。</p> </div></div></div>
6/29 12:54作者陳曉莉https://www.ithome.com.tw/news/176931
OpenAI預覽GPT-5.6新增代理人協同、max推理等級，先對部份合作夥伴釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/previewing-gpt-5-6-sol/" target="_blank">OpenAI上周五（6/26）預覽最新模型GPT-5.6系列</a>，包含旗艦模型Sol、適用日常業務的標準模型Terra及低價版本Luna。美國政府要求下，最新GPT-5.6模型僅提供給一小部份合作夥伴，OpenAI預計未來幾個星期進一步擴大提供給更多組織。</p> <p>GPT-5.6家族中，Sol號稱是OpenAI歷來最強模型，它在程式碼撰寫、生物與網路安全方面的代理能力尤為優越。Terra效能與前代GPT-5.5相當，價格卻便宜2倍，Luna則是成本歷來最低的模型。</p> <p>技術層面上，GPT-5.6加入新的max推理等級，賦予Sol更多時間深度推理。此外OpenAI還新增ultra模式，可運用多個子代理人加速複雜任務的進行。根據OpenAI提供的數據，Sol在程式開發規畫、迭代和工具協同的工作流程測試（Terminal-Bench 2.1）超越Anthropic Mythos 5/Fable 5及Gemini 3.1 Pro，而在長程基因和量化生物分析測試（GeneBench v1）超越前代模型GPT-5.5。OpenAI並強調新模型的網路安全能力。例如在漏洞研究和漏洞濫用標竿測試（ExploitBench）上，和Anthropic Mythos Preview相比，GPT-5.6 Sol可以1/3 token達到相同效能。在另一測試（ExploitGym）表現上，三個新模型全部超越GPT-5.5及GPT-5.4版。</p> <p>OpenAI說明，Sol特別強化高風險活動、敏感網路請求及重複性誤用行為的防護，也花了好幾個星期找漏洞、壓力測試。在內部評估中，Sol找出了Chromium和Firefox的漏洞和濫用原語（exploit primitives），並未自主產生完整攻擊鏈行動。不過為安全起見，公司持續強化Sol的安全防護並採取階段性推出策略。</p> <p>OpenAI在正式推出GPT-5.6 Sol前，已先向美國政府預覽模型計畫與能力，在其要求下，OpenAI僅對一小群信賴合作夥伴提供限定預覽測試，而且合作內容也需向美國政府報告。但OpenAI說這種美國政府介入的情形應該不會維持長久。接下來幾周他們準備擴大模型推出，同時和美國政府合作開發網路安全行政命令（cyber Executive Order）框架，以及適用未來模型發表的可重覆流程。</p> <p> </p> </div></div></div>
6/29 11:23作者林妍溱https://www.ithome.com.tw/news/176923
中國駭客從事攻擊行動StrikeShark，臺灣有政府機構名列受害範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>曝露於網際網路的應用程式伺服器，往往是駭客偏好下手的目標，若是廠商推出修補程式或更新軟體來防堵資安漏洞，企業組織尚未套用，攻擊者就能用來滲透這些應用程式伺服器並建立初期的入侵管道。</p> <p>資安公司卡巴斯基近日揭露<strong><a href="https://securelist.com/strikeshark-campaign/120326/">中國駭客的攻擊行動StrikeShark</a></strong>，這些駭客利用名為SharkLoader的惡意程式，企圖於受害組織植入Cobalt Strike的Beacon，受害範圍包含臺灣政府機構、印尼外交機構，以及多個國家的軟體開發公司，此外，卡巴斯基也在香港、黎巴嫩、敘利亞、哥倫比亞、北馬其頓、尼泊爾、塞爾維亞等其他國家發現相關攻擊行動。</p> <p>攻擊者取得受害組織初期存取管道的管道有兩種，其中一種就是利用網路應用程式的已知漏洞，另一種則是透過網路釣魚的手法，聲稱提供合法軟體來散布SharkLoader。值得留意的是，駭客利用的資安漏洞相當多元，在針對臺灣政府機構的資安事故裡，他們利用了即時通訊伺服器Openfire的身分驗證繞過漏洞CVE-2023-32315；而在印尼外交機構的事故裡，駭客運用了包含ProxyLogon（CVE-2021-26855）在內的多項Exchange弱點。</p> <p>在駭客使用的已知漏洞當中，又以遠端程式碼執行（RCE）漏洞最多，包括：SharePoint漏洞CVE-2021-27076、Zimbra漏洞CVE-2022-27925、F5 BIG-IP漏洞CVE-2023-46747、Fortinet防火牆作業系統漏洞CVE-2024-21762，以及React Server Components（RSC）漏洞React2Shell（CVE-2025-55182），不過，這些駭客也有利用身分驗證繞過類型的漏洞，例如：Fortinet防火牆作業系統漏洞CVE-2022-40684、思科IOS XE漏洞CVE-2023-20198。</p> </div></div></div>
6/29 11:25作者周峻佑https://www.ithome.com.tw/news/176924
禁令擋不住青少年上社交媒體，澳洲將平臺罰款提高一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pm.gov.au/media/stronger-powers-and-double-penalties-world-leading-social-media-law" target="_blank">澳洲政府周日（6/28）宣布</a>，將修法強化全球首創的社交媒體最低年齡制度，把平臺違反未滿16歲禁用規定的最高罰款，從4,950萬澳元提高至9,900萬澳元（約新臺幣19億元），並賦予澳洲網路安全監管機關（eSafety Commissioner）更大的調查權限，以要求平臺提出阻止未成年人開設帳號的證據。</p> <p><a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲於2024年通過《線上安全修正（社交媒體最低年齡）法》</a>（Online Safety Amendment (Social Media Minimum Age) Act 2024），成為全球第一個立法並實施社交媒體最低年齡制度的國家。該法要求受規範的社交媒體平臺採取合理措施，防止澳洲境內未滿16歲使用者持有帳號，並於2025年12月10日正式上路。目前eSafety正在調查Facebook、Instagram、Snapchat、TikTok及YouTube等5個平臺的潛在違規情況。</p> <p>澳洲政府表示，雖然禁令上路後已有超過500萬個未滿16歲的帳號遭到移除、停用或限制，但仍有太多兒童繼續使用社交媒體，顯示大型科技業者並未充分履行法律責任。通訊部長Anika Wells批評，部分社交媒體平臺只採取最低限度的合規措施，並未真正盡力阻止未成年人使用其服務。</p> <p><a href="https://www.theguardian.com/media/2026/jun/24/australia-under-16-social-media-ban-no-substantial-effects-study" target="_blank">英國《衛報》（The Guardian）引述</a>刊登於《BMJ》的澳洲紐卡索大學（University of Newcastle）研究指出，禁令實施3個月後，仍有超過85%的未滿16歲青少年持續使用受限制的社交媒體平臺，顯示該制度初期執行成效有限。</p> <p><a href="https://www.bmj.com/content/393/bmj-2026-363695" target="_blank">研究認為</a>，平臺年齡驗證機制不足是主要原因。雖然約2/3受訪者曾接受年齡驗證，但多數僅需自行填寫年齡或上傳自拍，只有少數人被要求出示政府核發的身分證件；另有部分青少年透過假帳號或VPN繞過限制。</p> <p>因此，澳洲政府將最高罰款提高至9,900萬澳元，並擴大eSafety Commissioner的取證權限，使其可要求平臺提供合規證據，也可向年齡驗證業者或應用商店等第三方索取資料，以驗證平臺說法。政府希望藉此提高違規成本，讓罰則與澳洲競爭及消費者法規的處罰水準一致。</p> <p>澳洲社交媒體年齡限制之所以受到關注，是因為澳洲為全球第一個立法並實施此類制度的國家，後續已有多國研議跟進。英國已規畫於2027年推動類似禁令，其他國家也陸續討論限制未成年人使用社交媒體，因此澳洲禁令的執行成效與後續修法，將成為各國制定兒少網路安全政策的重要參考。</p> </div></div></div>
6/29 11:44作者陳曉莉https://www.ithome.com.tw/news/176920
緬甸AYA Bank證實舊系統遭駭，駭客組織LAPSUS$宣稱竊取120 GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>銀行舊版應用程式安全成焦點，在6月25日，緬甸主要私人銀行之一的伊洛瓦底銀行（AYA Bank）透過<strong><a href="https://www.ayabank.com/about-aya/news-room/announcements/AYA_bank_statement_Regarding_a_Data_Security_Incident">公司網站</a></strong>及<strong><a href="https://www.facebook.com/ayabank/posts/pfbid02R8tACKtdQYhwi5x9sCXTUds5dNQVPhCPizvziLGAWxy763L87cMPEYh3cuwRrp2Vl">臉書粉絲專頁</a></strong>發布資安公告，證實其舊版應用程式入口網站遭到未經授權存取，導致部分非財務性質的申請紀錄外洩。</p> <p>AYA Bank在聲明中強調，銀行的核心金融系統、AYA Pay支付系統及信用卡與金融卡管理系統，均未與受此事件影響的舊版入口網站直接連線，因此核心業務未受波及。銀行表示目前所有財務資料安全無虞，各項金融服務均維持正常運作，並提醒客戶提高警覺，防範可能的詐騙電話或釣魚郵件。</p> <p>至於外界關注的攻擊者身分方面，隔日<strong><a href="https://www.bnionline.net/en/news/myanmars-aya-bank-acknowledges-cyberattack-after-hacking-group-claims-data-breach">緬甸新聞通訊社（BNI）報導</a></strong>指出，早在6月23日，駭客組織LAPSUS$便聲稱已從該銀行竊取超過120 GB的資料，其中包含大量客戶個資。駭客以此威脅銀行支付贖金，否則將在7月8日前將竊取資訊公開至暗網。包括<strong><a href="https://www.ransomware.live/id/QVlBIEJBTktAbGFwc3VzJA">Ransomware.live</a></strong>、<strong><a href="https://x.com/DarkWebInformer/status/2069509122844725473">Dark Web Informer</a></strong>等暗網情資追蹤平臺均已轉載這起勒索消息。</p> </div></div></div>
6/29 12:05作者羅正漢https://www.ithome.com.tw/news/176917
Open VSX出現GlassWorm蠕蟲變種GlassWASM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>具自我散布能力的蠕蟲GlassWorm<strong><a href="https://www.ithome.com.tw/news/171854">從去年10月開始活動</a></strong>，並在Visual Studio Code（VS Code）、Open VSX延伸套件市集橫行，然而就在上個月資安公司CrowdStrike與Google合作，<strong><a href="https://www.ithome.com.tw/news/176195">破壞此蠕蟲程式的基礎設施</a></strong>後，近期已出現變種版本。</p> <p>資安公司Socket<strong><a href="https://socket.dev/blog/glasswasm-malware-open-vsx-extensions">於6月16日指出</a></strong>，他們在Open VSX發現兩個有問題的VS Code延伸套件exargd/[email protected]、noellee-doc/[email protected]，駭客在套件裡嵌入WebAssembly惡意軟體，並透過Solana區塊鏈作為C2通道，藉此於受害的開發環境執行遠端命令。值得留意的是，這些惡意套件的名稱、版本，以及說明資料，全數從VS Code延伸套件市集的正牌套件完整複製，使得一般的開發人員更難察覺異狀。Socket向Open VSX通報後，上述套件已全數下架。</p> <p>對於此蠕蟲程式的迴避偵測機制，也引起研究人員注意。首先，這兩個惡意套件內含以TinyGo編譯的WASM模組，所有 URL、錢包地址與指令皆以演算法ChaCha20處理，使得靜態掃描無法偵測任何入侵指標，再者，惡意程式會輪詢Solana特定的JSON-RPC API，讀取攻擊者控制的錢包地址上的SPL Memo欄位，從中解析C2主機網域名稱。攻擊者只需發送新交易即可輪換基礎設施，因此防守方無法封鎖特定的伺服器，或將其下線因應。</p> <p>Socket指出，根據本次活動的策略與鎖定的目標，以及部分工具與GlassWorm共用，因此他們推測攻擊者的身分就是開發GlassWorm的駭客團體。</p> </div></div></div>
6/29 12:07作者周峻佑https://www.ithome.com.tw/news/176927
Palo Alto Networks參與企業開源軟體供應鏈安全服務Project Lightwell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月底<strong><a href="https://www.ithome.com.tw/news/176206">IBM與紅帽（Red Hat）宣布</a></strong>，推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，此服務延伸兩家公司在Red Hat Enterprise Linux（RHEL）、OpenShift等企業開源平臺上的維護模式，將原本針對平臺內開放原始碼元件提供的生命週期管理、漏洞修補驗證與發布工程（release engineering），擴大到企業應用程式常用的第三方開放原始碼函式庫、程式語言工具鏈、AI框架與資料串流平臺。兩年前<strong><a href="https://www.ithome.com.tw/news/164893">買下IBM QRadar SaaS業務</a></strong>的資安公司Palo Alto Networks，近日也加入Project Lightwell，以擴大該服務的防禦範圍。</p> <p>上週Palo Alto Networks<strong><a href="https://www.paloaltonetworks.com/company/press/2026/ibm-red-hat-and-palo-alto-networks-expand-project-lightwell-to-help-organizations-respond-to-software-vulnerabilities">發布新聞稿</a></strong>說明此事，表示該公司將會提供虛擬修補（Virtual Patching）能力，與Project Lightwell整合，整合快速的網路防護與軟體修補能力，協助企業降低新興威脅帶來的風險曝露，並將防守的範圍，從開源軟體、商業應用程式，延伸到操作科技（OT）與醫療保健技術等領域。導入虛擬修補的原因在於，AI爆發性的發展使得資安漏洞被發現的速度大幅增加，使得攻擊者透過AI能比防守方更快找到程式碼基礎（codebase）裡的弱點，而對企業組織造成系統性的供應鏈風險，藉由虛擬修補，他們將攻防的優勢重新轉回防守方，Project Lightwell的強大組合不僅能消除網路威脅，並為客戶提供不間斷的業務營運。</p> </div></div></div>
6/29 10:00作者周峻佑https://www.ithome.com.tw/news/176914
PQC準備度研究顯示近9成SSH伺服器尚未具備後量子安全能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路資產管理與資安廠商<a href="https://www.forescout.com/blog/pqc-adoption-gaps-90-percent-of-systems-are-still-not-quantum-safe/" target="_blank">Forescout旗下研究團隊Vedere Labs於6月24日發布後量子密碼學（Post-Quantum Cryptography，PQC）採用研究</a>，指出隨著量子運算可能在未來數年威脅現行公開金鑰密碼系統，企業需要及早盤點加密資產，規畫PQC遷移的工作。<a href="https://www.ithome.com.tw/news/174910" target="_blank">部分專家預期Q-Day最快可能在2029年到來</a>，留給企業準備的時間已越來越有限。</p> <p>Forescout分析超過1.6億臺網際網路SSH主機發現，2026年5月支援PQC金鑰交換（Key Exchange，KEX）演算法的SSH伺服器，已由一年前的1,150萬臺增加至逾1,900萬臺，占比由6.2%提高至約11.9%，但仍有近90%的SSH伺服器尚未具備PQC能力。這波成長主要來自OpenSSH版本升級，採用支援PQC的OpenSSH 9.x與10.x版本比例，由21%增加至37%；相較之下，嵌入式設備常用的輕量化SSH實作Dropbear，雖已於2025年加入PQC支援，但目前支援PQC版本的部署比例仍僅約3%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0629-pqc-sshserver.png" style="width: 425px;" /></p> <p>從企業網路設備來看，採用支援PQC的OpenSSH版本比例方面，IT設備已達50%，IoT設備為28%，OT設備為16%，醫療物聯網（IoMT）設備則僅6%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0629-pqc-2.png" style="width: 600px;" /></p> <p>Forescout同時以TLS 1.3支援情況，作為評估網際網路TLS伺服器是否具備PQC遷移基礎的觀察指標；在企業網路中，則分析TLS連線採用的金鑰封裝機制（Key Encapsulation Mechanism，KEM）演算法。研究顯示，網際網路伺服器的TLS 1.3部署率已由一年前的19%提升至30%；在企業網路中，IT設備具備PQC能力的比例約8%，IoT與IoMT設備為5.6%，OT設備則僅0.8%。</p> <p><a href="https://www.cisa.gov/resources-tools/resources/quantum-readiness-migration-post-quantum-cryptography" target="_blank">美國網路安全暨基礎設施安全局（CISA）則建議</a>，組織應及早建立量子就緒路線圖（Quantum-Readiness Roadmap），盤點目前使用的加密技術、評估風險與業務衝擊，並與技術供應商協調產品升級規劃，以降低未來量子運算技術成熟後對現行加密機制帶來的風險。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Forescout</span></span></p> </div></div></div>
6/29 10:30作者王珮瑤https://www.ithome.com.tw/news/176915
美國政府傳部份解除Anthropic Claude最強大模型的出口管制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國媒體<a href="https://www.politico.com/news/2026/06/26/white-house-makes-peace-with-anthropic-for-now-00965675" target="_blank">Politico</a>、<a href="https://www.cnbc.com/2026/06/26/us-government-anthropic-claude-mythos5-ai.html" target="_blank">CNBC</a>等報導，美國商務部上周五收回部份禁止Anthropic Claude最新模型技術出口的命令，允許其向約100多家政府及企業組織提供Mythos模型。</p> <p>CNBC報導指出，美國商務部致函Anthropic共同創辦人Tom Brown說明其決定。美國商務部長Howard Lutnick在信中說，他認為已經有適當安全防護，已允許特定信賴合作夥伴存取Claude Mythos 5模型。</p> <p>報導引述據消息來源人士，這些受信賴合作夥伴包括美國政府核准的公司和聯邦機關。不過美國政府仍然未開放Claude Fable 5向外國輸出。</p> <p>這是兩個星期前，美國政府以國家安全為由，<a href="https://www.google.com/url?sa=t&source=web&rct=j&opi=89978449&url=https://www.ithome.com.tw/news/176598" target="_blank">祭出技術出口管制命令</a>，要求這家AI新創公司封鎖他國用戶存取Claude Fable 5和Mythos 5模型後的一大進展。Anthropic當時一方面為了遵守美國政府命令全面暫停兩大模型的客戶存取，一方面派員和美國政府協商。Brown則是Anthropic方面的談判首席代表。</p> <p>不過官方及業者尚未對此評論。</p> <p>Anthropic 6月中釋出最強大的旗艦模型Fable 5時，曾短暫提供給Pro、Max、Team和席次計價Enterprise方案客戶。但才上線三天，就遭到美國政府阻止。</p> <p><a href="https://www.ithome.com.tw/news/176653" target="_blank">美國媒體報導</a>，美國政府的依據可能來自英國資安研究機構AI SI（AI Security Institute）紅隊測試開發出越獄手法，或是Amazon執行長Andy Jassy告知美國官員，Amazon研究人員曾利用一系列提示，讓Fable 5提供可用於網路攻擊的方法。也有一說是<a href="https://www.ithome.com.tw/news/176823" target="_blank">美國國安局的測試結論所</a>致。</p> <p>但美國政府此舉引發資安界專家連署公開信反對，呼籲政府解除禁令。他們指出，在中國AI快速提升之際，禁止存取Fable 5和Mythos 5模型，將阻礙企業組織尋找漏洞，使其陷於網路攻擊風險中。</p> <p>Anthropic競爭者OpenAI上周五宣佈預覽最新GPT-5.6版。該公司也在美國政府介入管制下，僅提供給特定受信賴的合作夥伴，且OpenAI和這些夥伴的合作內容也需分享給美國政府。</p> </div></div></div>
6/29 11:14作者林妍溱https://www.ithome.com.tw/news/176921
Linux被揭露新的本機權限提升漏洞DirtyClone，CVSS嚴重度評分高達8.8分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">6月尾聲又有兩個Linux本機權限漏洞研究結果揭露，前幾天我們先介紹6月26日公開的<strong><a href="https://www.ithome.com.tw/news/176912">pedit COW</a></strong>，現在一起看看6月25日浮出檯面的<strong><a href="https://research.jfrog.com/post/dissecting-and-exploiting-linux-lpe-variant-dirtyclone-cve-2026-43503/">DirtyClone</a></strong>，這個漏洞由近年積極布局DevSecOps領域的軟體供應鏈平臺業者JFrog發現，5月19日通報Linux核心的維護人員，到了5月21日之後，此漏洞已修補與合併至Linux核心的主線版本v7.1-rc5，並為其指派漏洞編號為<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-43503">CVE-2026-43503</a></strong>，CVSS 3.1嚴重性評分為8.8分，屬於高風險漏洞，任何無特權的本機使用者均可藉此操弄Linux頁面快取，進而獲取root存取權限。</p> <p style="margin-left:.05pt;">之所以察覺這個漏洞，是因為JFrog資安研究團隊稽核近期Linux核心的修補狀況，他們發現<strong><a href="https://www.ithome.com.tw/tags/dirty-frag">DirtyFrag</a></strong>系列漏洞雖然已經得到修補，但仍存在一個未解決的問題，這會導致同類型漏洞持續存在，因為攻擊者可經由XFRM/IPsec子系統中的另一條封包處理路徑，進行漏洞利用的行為。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/2026-JFrog-DirtyClone Timeline.png"><img alt="" src="/sites/default/files/images/2026-JFrog-DirtyClone%20Timeline.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">JFrog也率先對此開發出這項漏洞的概念驗證程式，並將其命名為DirtyClone，之所以發表這項研究，該公司表明目的在於當中展示更廣泛的利用模式，可影響多個通訊端點的緩衝區（socket buffer，skb），並表明底層的攻擊能力不限於單一脆弱的程式碼路徑。</p> <p style="margin-left:.05pt;">目前CVE-2026-43503會影響哪些Linux系統？就常見Linux發行版而言，像是<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-43503">Debian</a></strong>、<strong><a href="https://ubuntu.com/security/CVE-2026-43503">Ubuntu</a></strong>及<strong><a href="https://bugzilla.redhat.com/show_bug.cgi?id=2480902">Fedora</a></strong>，此項漏洞利用攻擊活動是有效的。</p> <p style="margin-left:.05pt;">若無法取得或立即套用修補程式，JFrog建議Linux用戶可將kernel.unprivileged_userns_clone的數值設定為0，藉此阻止攻擊者取得系統的CAP_NET_ADMIN權限，或將esp4、esp6、rxrpc這些Linux核心模組加入黑名單，藉此阻擋就地執行的底層解密機制（in-place decryption），避免這項處理修改共享的頁面快取內容。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/JFrog DirtyClone-in-place Decryption Path.png"><img alt="" src="/sites/default/files/images/JFrog%20DirtyClone-in-place%20Decryption%20Path.png" style="width: 600px;" /></a></p> <p>JFrog警告，任何未完整套用DirtyFrag漏洞系列（CVE-2026-43284 和 CVE-2026-43500）修補程式鏈的Linux核心，均面臨風險。因為用戶Linux系統搭配的核心，若是已套用這些漏洞的初期緩解措施、但未安裝後續修補程式的主線、穩定版或長期支援核心分支，仍可能受到特定繞過攻擊的影響，唯有在套用完整系列修補程式後，系統才能獲得完整因應這個攻擊模式的保護。</p> <p><a href="/sites/default/files/images/DirectFrag-research_jfrog.jpg"><img alt="" src="/sites/default/files/images/DirectFrag-research_jfrog.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/29 01:19作者李宗翰https://www.ithome.com.tw/news/176913
Linux存在新的本機權限提升漏洞pedit COW，搭配5.18版至 7.1-rc6版核心的系統均可能受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">今年5月爆發一連串Linux本機權限提升漏洞，例如，<a href="https://www.ithome.com.tw/tags/copy-fail"><strong>Copy Fai</strong></a><strong>l</strong>、<a href="https://www.ithome.com.tw/tags/dirty-frag"><strong>DirtyFrag</strong></a>、<a href="https://www.ithome.com.tw/tags/fragnesia"><strong>Fragnesia</strong></a>，6月底又出現這類型漏洞的揭露，我們先看看威脅情報平臺廠商<a href="https://threatlandscape.io/blog/cve-2026-46331-pedit-cow-linux-privilege-escalation"><strong>Threat Landscape</strong></a>最新發表的漏洞研究，代號為pedit COW，編號是CVE-2026-46331，問題存在Linux核心的流量控制（traffic control，tc）子系統，一旦此漏洞遭到成功利用，本機使用者即可繞過多種安全控制，並獲得完整的root權限。</p> <p style="margin-left:.05pt;">值得注意的是，在這個CVE編號公開後不久，漏洞利用概念驗證（PoC）程式<strong><a href="https://github.com/sgkdev/packet_edit_meme">packet_edit_meme</a></strong>也隨之發布，因此，亟需修復這個漏洞的程度也提高。至於受此漏洞影響的Linux發行版，Threat Landscape指出，包括<strong><a href="https://access.redhat.com/security/vulnerabilities/RHSB-2026-008">Red Hat Enterprise Linux</a></strong>的8至10版，以及搭配5.18版至7.1-rc6版Linux核心的<strong><a href="https://ubuntu.com/security/CVE-2026-46331">Ubuntu</a></strong>與<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-46331">Debian</a></strong>，此外，<strong><a href="https://www.suse.com/pt-br/security/cve/CVE-2026-46331.html">SUSE</a></strong>、<strong><a href="https://linux.oracle.com/errata/ELSA-2026-27353.html">Oracle Linux</a></strong>、<strong><a href="https://explore.alas.aws.amazon.com/CVE-2026-46331.html">Amazon Linux</a></strong>、<strong><a href="https://blog.cloudlinux.com/pedit-cow-mitigation-and-kernel-update">CloudLinux</a></strong>都發布相關公告與列出受影響的版本。</p> <p style="margin-left:.05pt;">分析CVE-2026-46331漏洞的根本原因在於，Threat Landscape認為，Linux核心的流量控制基礎架構（net/sched）當中，act_pedit這個動作內部的寫入時複製（copy-on-write，COW）機制有不當的實作，而且，子系統act_pedit主要負責封包標頭的編輯與重寫。</p> <p style="margin-left:.05pt;">細究當中的問題成因，Threat Landscape表示，由於tcf_pedit_act()函式具有資安漏洞，Linux核心會在反覆執行編輯金鑰的工作之前，嘗試對skb_ensure_writable()函式計算安全的寫入時複製範圍，為了完成這項工作，當中會運用稱為tcfp_off_max_hint的數值，然而，該項計算作業本身存在一個致命缺陷：無法考量到因多個分類金鑰而新增的標頭偏移量，由於這些偏移量是在執行時計算，所以，Linux核心會將資料寫入安全且已配置邊界之外的位置，此舉將導致越界寫入，進而毀損共享的頁面快取記憶體。</p> <p style="margin-left:.05pt;">目前有哪些Linux核心版本受到上述問題影響？Threat Landscape指出，範圍涵蓋5.18版至7.1-rc6版，到了7.1-rc7版才正式解決該項問題，而且，修補程式能回溯移植到仍在積極維護的企業級Linux核心。</p> <p style="margin-left:.05pt;">關於利用CVE-2026-46331漏洞的概念驗證程式packet_edit_meme，Threat Landscape表示，這當中依賴巧妙設計的執行鏈，能將記憶體越界的寫入轉化為root shell的取得。若要偵測上述行為，無法單靠掃描靜態檔案的傳統檔案完整性監控（FIM）系統，例如進階入侵偵測環境（AIDE）或 Tripwire這類工具，因為攻擊完全發生在切換使用者身分指令（/bin/su）的記憶體快取副本，電腦或伺服器磁碟存放的/bin/su並未遭到修改，所以FIM無法偵測出異狀，而且，只要遭損毀的頁面仍以保留在記憶體快取，系統就會持續處於遭入侵狀態。</p> </div></div></div>
6/28 01:53作者李宗翰https://www.ithome.com.tw/news/176912
本週Google二度發布Chrome 149穩定版更新，修補3項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">6月23日<a href="https://www.ithome.com.tw/news/176876"><strong>Google</strong><strong>發布</strong><strong>Chrome</strong><strong>瀏覽器更新</strong></a>，不料短短兩天後，<strong><a href="https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_01245939337.html">突然又釋出新版本</a></strong>，Windows與Mac平臺更新至149.0.7827.200與149.0.7827.201，Linux版本與<strong><a href="https://chromereleases.googleblog.com/2026/06/chrome-for-android-update_0266309606.html">Android版本更新至149.0.7827.200</a></strong>，總共納入3項資安漏洞的修補。</p> <p style="margin-left:.05pt;">其中，<a href="https://www.cve.org/CVERecord?id=CVE-2026-13281"><strong>CVE-2026-13281</strong></a>的問題出在Chrome核心的跨處理程序通訊框架Mojo，存在整數溢位（Integer Overflow）的缺陷，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-13282">CVE-2026-13282</a></strong>與<a href="https://www.cve.org/CVERecord?id=CVE-2026-13283"><strong>CVE-2026-13283</strong></a>皆為記憶體已釋放卻仍被使用（UAF）類型的問題，分別發生在Chrome Android版的Payments元件與AdFilter元件。若連同前一波安全性更新，本週Google總共揭露Chrome存在21項資安漏洞。</p> <p style="margin-left:.05pt;">關於嚴重程度的認定，Google最新公布的Chrome漏洞皆列為高風險等級，然而，MITRE維護的CVE.org網站對上述漏洞資安風險程度的認定略有出入，例如<a href="https://www.cve.org/CVERecord?id=CVE-2026-13281"><strong>CVE-2026-13281</strong></a>與<a href="https://www.cve.org/CVERecord?id=CVE-2026-13283"><strong>CVE-2026-13283</strong></a>被列為高風險漏洞，CVSS 3.1嚴重度評分各為8.3分與7.5分，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-13282">CVE-2026-13282</a></strong>被列為中風險漏洞，CVSS 3.1評分為6.8分。</p> <p>CVE.org網站也進一步揭露這些漏洞的可能利用方式，例如CVE-2026-13281可讓已侵入著色器處理程序的遠端攻擊者，得以透過惡意檔案執行沙箱跳脫的動作；CVE-2026-13282能讓本機攻擊者透過實體存取裝置的方式，執行毀損記憶體堆積的手法；CVE-2026-13283的存在，遠端攻擊者可透過說服使用者操作特定的使用者介面手勢，後續即能利用特製的HTML頁面執行任意程式碼。</p> </div></div></div>
6/27 12:30作者李宗翰https://www.ithome.com.tw/news/176911
台水揭露智慧水務轉型最新進展，導入AI從精準加藥到預測維護，提升供水韌性與減碳效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>肩負全臺（大臺北部分地區除外）超過700萬戶、約1,800萬人用水的台灣自來水公司(簡稱台水)，旗下管理龐大的供水基礎設施，包括476座淨水場、140個供水系統及逾6萬公里供水管線，每天供應約1,400萬噸自來水，面臨龐大供水設施的複雜管理挑戰、人力不足，加上能源成本上升，以及2050淨零排放目標，加上極端氣候的旱澇不均，讓水資源調度複雜且緊張，台水公司加速導入AI推動數位轉型，發展智慧水務提升供水韌性及滿足永續減碳的目的。</p> <p>台水近期在股東會上揭露其智慧水務最新進展，顯示AI應用已從單一個別場域試辦，逐步擴展至淨水操作、設備維護、水質監測、客服與工安管理等核心業務，並開始與能源管理及減碳策略整合，期望以此提升供水韌性、營運效率與永續績效。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-8779d73c-7fff-02c6-f1a8-e9cbb35c02be"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI從改善單一設備，走向智慧水務平臺</span></span></span></h2> <p>台水的水源主要來自水庫，超過一半的水源來自水庫，其次是地面水也有3成，地下水約占1成，由於水源不同，原水品質差異巨大，原水需經過層層淨化處理，才能提供穩定的自來水品質，因此台水公司的AI轉型聚焦於「精準加藥」、「能源監控」及「設備預測維護」三項核心能力。</p> <p>在淨水操作方面，宜蘭清洲淨水場導入AI精準加藥系統後，每年約能省下超過15%的藥劑使用量；另方面，台水也在新竹第二淨水場透過能源監控系統與變頻控制，來降低抽水機耗能約9.6%，每年約可省下113萬元電費。</p> <p>在設備維護上，台水也導入智慧抽水機三維特徵診斷技術，能夠提前數週預測設備異常，將平均修復時間縮短40%以上，降低突發故障造成供水中斷停水的風險。</p> <p>除了淨水場營運，他們也將AI逐步延伸到其他業務，在水質管理方面，該公司建置AI大數據警示平臺，並結合去年啟用的「台水1號」智能水質採樣監測船，提高水質異常事件的偵測與應變效率。他們也將AI用於工安管理，運用AI影像辨識來協助工地安全管理。</p> <p>用戶服務方面也不落後，今年4月台水推出AI客服「水寶」，為24小時的AI客服，讓用戶能以地址或相關資訊，透過官網或App查詢用水資訊，例如停復水查詢、無水或漏水通報等等。</p> <p>上述作為顯示，台水正將AI從改善單一設備效率，逐步發展為串聯淨水、水質監測、設備管理至民眾服務的智慧水務平臺。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-8779d73c-7fff-02c6-f1a8-e9cbb35c02be"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">曾文淨水場打造智慧淨水與低碳示範場域</span></span></span></h2> <p>在台水數位轉型過程中，肩負大臺南供水、日出水量13萬噸的曾文淨水場為相當重要的示範場域，為智慧淨水、低碳淨水的重要示範場域。</p> <p>台水規畫在曾文淨水場全面導入智慧整合控制系統，將AI結合淨水製程控制、抽水機智慧排程及能源管理，預估可降低15%電力消耗、減少10%至12%碳排放，同時降低約15%的加藥量。</p> <p>台水公司將分三階段驗證，目前處於人工模擬階段，今年8月將進入系統輔助控制，預訂2027年1月邁向全面自動控制。未來也將依循「試點、評估、擴展」模式，逐步推廣至寶山、鯉魚潭及湖山等大型淨水場。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-8779d73c-7fff-02c6-f1a8-e9cbb35c02be"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI成為台水淨零轉型的利器</span></span></span></h2> <p>相較於過去著重提升營運效率，台水的智慧水務布局將AI與淨零轉型相結合。</p> <p>例如透過AI精準加藥、能源監控及智慧抽水機排程，以降低電力與藥劑的使用，同時藉此減少碳排放。預期可為曾文淨水場帶來減少10%至12%碳排放的效益，成為智慧淨水結合低碳營運的重要示範。</p> <p>目前台水也同步擴大再生能源布局。全臺已建置134處太陽光電設施，預估年減碳約4.1萬噸，規畫2026年至2028年先後新增加230處，年減碳量估計可提升至7.6萬噸。另外，台水也將小水力發電用於台東利嘉、雲林湖山淨水場、台中沙鹿配水中心等場域建置，未來將持續擴大應用。</p> <p>從近期台水揭露的智慧水務成果，顯示AI支撐大型公共基礎設施營運的重要能力。面對氣候變遷、供水韌性及淨零排放等多重挑戰，台水透過AI與數位轉型，建立效率、韌性與永續性的供水系統。</p> </div></div></div>
6/26 17:26作者蘇文彬https://www.ithome.com.tw/news/176908
Linux基金會擬推代理名稱系統，替AI代理建立可信身分基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Linux基金會宣布計畫推出<strong><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-intent-to-launch-agent-name-service-to-establish-trusted-identity-infrastructure-for-ai-agents">代理名稱系統（Agent Name Service，ANS）</a></strong>，以既有網域名稱系統（Domain Name System，DNS）為基礎，為在網際網路上運作的AI代理建立開放式身分驗證與探索機制。該計畫鎖定AI代理進入企業生產環境後，跨組織、跨平臺執行任務時可能面臨的身分確認、權限管理、治理與互通性問題。</p> <p>Linux基金會解釋，ANS是把AI代理身分連結到既有DNS基礎設施，不另建一套專有查詢網路，也不由單一業者維護集中式登錄系統。其目標是讓系統管理者、開發者與使用者確認代理所代表的組織、已取得的權限，以及其程式碼與操作紀錄是否真實且未遭竄改。</p> <p>過去AI系統多半在單一服務內回應使用者請求，但企業開始評估讓AI代理呼叫外部工具、與其他代理互動，甚至代表組織執行部分流程。當代理橫跨不同服務運作，單靠平臺內部帳號或一般API憑證，未必足以處理代理來源、版本與信任邊界等問題。</p> <p>ANS是一種代理名稱解析、登錄與透明度日誌機制。DNS可將網域名稱解析為網路位址，ANS則希望將代理名稱解析為可驗證、帶有版本資訊的身分資料，並搭配憑證與只附加不覆寫的透明度日誌。</p> <p>Linux基金會表示，ANS框架也支援去中心化識別符（DID）與法律實體識別碼（LEI），讓組織能把既有身分系統納入同套驗證模型。</p> <p>目前ANS為正在推動中的開放標準工作，<strong><a href="https://www.ietf.org/archive/id/draft-narajala-ans-00.html">相關技術文件已出現在IETF Internet-Draft</a></strong>，但該狀態代表工作草案，尚未取得IETF正式標準地位。Linux基金會也表示，專案正在尋求企業、AI開發者、基礎設施業者與安全研究人員參與，後續技術儲存庫與貢獻方式將透過<strong><a href="https://github.com/agentnameservice">Agent Name Service的GitHub組織</a></strong>公布。</p> </div></div></div>
6/26 18:17作者李建興https://www.ithome.com.tw/news/176909
【資安日報】6月26日，執法行動瓦解惡意軟體Amadey、StealC、SocGholish活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176902#Endgame">Operation Endgame圍剿惡意軟體Amadey、StealC、SocGholish</a></p> <p>● <a href="https://www.ithome.com.tw/news/176902#CUCM">思科整合通訊管理平臺Unified CM重大漏洞遭到利用</a></p> <p>● <a href="https://www.ithome.com.tw/news/176902#Klue">AI營收情資平臺Gong的用戶也受到Klue事故波及</a> <a id="Endgame" name="Endgame"></a> </p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176899"><span style="font-size: 22px;"><strong>執法行動Operation Endgame瓦解惡意軟體Amadey、StealC、SocGholish的犯罪網路</strong></span></a></p> <p>掃蕩駭客從事勒索軟體攻擊、金融詐欺、攻擊關鍵基礎設施的執法行動Operation Endgame，最近出現新的斬獲。6月24日歐洲刑警組織（Europol）宣布，在6國執法機關與民間企業組織聯手，由歐洲刑警組織與歐盟刑事司法合作署（Eurojust）居間協調之下，成功在兩週的時間裡，破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施，癱瘓326臺伺服器、封鎖142個網域，查獲逾4,100萬歐元加密貨幣不法所得。<a href="https://www.ithome.com.tw/news/176899">詳全文</a> <a id="CUCM" name="CUCM"></a></p> <p><a href="https://www.ithome.com.tw/news/176885"><span style="font-size: 22px;"><strong>思科整合通訊管理平臺Unified CM重大SSRF漏洞出現攻擊活動</strong></span></a></p> <p><a href="/sites/default/files/images/HLbTxHNaUAA613r-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HLbTxHNaUAA613r-63.jpg" style="width: 300px; float: right;" /></a></p> <p>本月初思科修補重大等級的伺服器請求偽造（SSRF）漏洞CVE-2026-20230，此漏洞存在於整合通訊管理平臺Unified CM與Unified CM SME，攻擊者可透過特製的HTTP請求利用，將檔案寫入底層作業系統，之後將權限提升為root。6月22日威脅情報公司Defused Cyber於社群網站X提出警告，他們觀察到有人利用這項資安漏洞，攻擊者利用概念驗證程式碼（PoC）試圖觸發弱點，該公司在誘捕系統當中，看到經過完整格式化（genuinely-formatted）的file://檔案寫入酬載。<a href="https://www.ithome.com.tw/news/176885">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176886"><span style="font-size: 22px;"><strong>CISA將思科整合通訊管理平臺Unified CM重大漏洞列KEV</strong></span></a></p> <p>日本電信業者KDDI於6月23日發布資安公告，表示該公司提供給網際網路服務商（ISP）的電子郵件系統遭到入侵，攻擊者利用該系統的第三方軟體漏洞得逞，波及6家ISP業者，可能有多達1,422萬筆用戶電子郵件帳號與密碼外洩。受此事件影響的ISP業者包括：BIGLOBE、Nifty、JCOM、STNet、Chubu Telecommunications，以及KDDI Web Communications，外洩資料可能包含電子郵件地址與密碼，甚至涵蓋已停用或長期未使用的用戶帳號。<a href="https://www.ithome.com.tw/news/176886">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176889"><span style="font-size: 22px;"><strong>PTC產品生命週期管理系統重大漏洞已出現攻擊行動</strong></span></a></p> <p>6月25日美國網路安全與基礎設施安全局（CISA）表示，他們已掌握CVE-2026-12569、CVE-2026-20230兩個漏洞遭到利用的情形，並要求聯邦機構於28日前完成修補。其中存在於PTC產品生命週期管理系統Windchill、FlexPLM的重大漏洞CVE-2026-12569，PTC於美東時間6月18日下午2時首度提出警告，要客戶根據他們提供的入侵指標（IoC）檢查環境，因為攻擊者可能會在Windchill登入資料夾裡，部署了可持續活動的JSP Webshell。<a href="https://www.ithome.com.tw/news/176889">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176878"><span style="font-size: 22px;"><strong>資安公司BeyondTrust遭到Klue事故波及，導致其Salesforce資料遭外洩</strong></span></a></p> <p>根據資安新聞網站SecurityWeek報導，資安公司BeyondTrust發布公告，表示他們在6月12日接獲Klue的通報後著手調查，確認攻擊者從他們的Salesforce系統當中，取得該公司的商業用戶的聯絡人，以及一般銷售相關的客戶資訊。由於遭到未經授權存取的資料涵蓋了企業聯絡資訊，BeyondTrust呼籲用戶應防範可能會衍生的網路釣魚及社交工程活動。BeyondTrust強調，員工帳號未遭到入侵，該公司的基礎設施、網路、產品及雲端環境也未被存取。<a href="https://www.ithome.com.tw/news/176878">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176896"><span style="font-size: 22px;"><strong>產品體驗平臺公司Pendo、雲端通訊服務廠商8×8受Klue供應鏈攻擊影響，並引起資料外洩</strong></span></a></p> <p>本週產品體驗平臺公司Pendo與雲端通訊服務廠商8×8皆傳出受到Klue事故影響，Pendo於6月22日發布部落格文章表示，他們於6月14日接獲通報，未經授權的攻擊者入侵Pendo使用的Klue，並疑似取得存放於Salesforce平臺的資料。8×8則是向美國證交所提交8-K表單通報此事，他們於6月13日得知未經授權的攻擊者駭入與Salesforce整合的第三方應用程式Klue，從而得到存取權限，並從8×8的Salesforce系統竊得部分資料，相關的活動發生在6月11日至12日。<a href="https://www.ithome.com.tw/news/176896">詳全文</a> <a id="Klue" name="Klue"></a></p> <p><a href="https://www.ithome.com.tw/news/176898"><span style="font-size: 22px;"><strong>Klue供應鏈攻擊影響範圍擴大，AI營收情資平臺Gong的用戶也受到波及</strong></span></a></p> <p>上週Salesforce揭露Klue供應鏈攻擊，並宣布切斷Klue Battlecards應用程式與用戶的Salesforce系統連結因應。然而就在有許多受害公司證實他們的Salesforce因此出現未經授權存取的情形之際，6月19日AI營收情資平臺Gong表示，同時使用Klue進行整合的用戶，有可能受到這起事故波及。對此，Gong已撤銷所有與Klue整合的相關存取權限，停用與整合相關的權杖（token），封鎖Klue入侵指標（IoC）提及的4個攻擊來源IP位址。<a href="https://www.ithome.com.tw/news/176898">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176888"><span style="font-size: 22px;"><strong>Grafana Labs證實受TanStack供應鏈攻擊波及，GitHub儲存庫遭未授權存取</strong></span></a></p> <p>可觀測性平臺業者Grafana Labs於5月16日確認，該公司GitHub儲存庫遭未授權存取，攻擊者下載程式碼並提出勒索要求。後續調查指出，事件源自TanStack供應鏈攻擊中的Mini Shai-Hulud活動。Grafana Labs於5月27日完成內部調查，6月23日進一步發布事後檢討報告，說明事件限於GitHub環境，客戶正式環境與Grafana Cloud未受影響。該公司起初發現攻擊者在內部建置的GitHub Runner執行惡意程式碼，立即輪替憑證但有所遺漏而釀禍。<a href="https://www.ithome.com.tw/news/176888">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176891"><span style="font-size: 22px;"><strong>韓國全民創業計畫爆資安事故，5,000名晉級首輪的參賽者個資與創意外洩</strong></span></a></p> <p>由韓國政府主導的大規模創業海選計畫「全民創業」（모두의 창업），共吸引6.3萬人參與，但在6月17日傳出嚴重的個資外洩事件，根據韓國創業媒體《Unicorn Factory》報導，共有5,000名第一階段入選者的個資遭到外洩。這次資料外洩事故之所以曝光，是因為多名合格參賽者反映，他們突然收到來自特定顧問公司的行銷郵件，內容宣稱能協助獲取政府補助金，且郵件中精準掌握了參賽者的暱稱、合格狀態等非公開資訊。<a href="https://www.ithome.com.tw/news/176891">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176858"><span style="font-size: 22px;"><strong>刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注</strong></span></a></p> <p><a href="/sites/default/files/files/176858-63.jpg" target="_blank"><img alt="" src="/sites/default/files/files/176858-63.jpg" style="width: 300px; float: right;" /></a></p> <p>近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。該集團利用特定科技設備與網路系統竄改來電顯示，鎖定海外華人行騙。全案經報請臺南、臺中地方檢察署指揮偵辦後，於去年底至今年初調查並攻堅，逮捕包含蔡姓系統商、陳姓及洪姓主嫌在內共11名嫌犯，目前已有5人裁定羈押禁見，其餘6人裁定高額交保。初步清查被害者逾30人，涉詐金額高達3千萬元。從技術層面來看，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」。<a href="https://www.ithome.com.tw/news/176858">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176897"><span style="font-size: 22px;"><strong>微軟悄悄展延Windows 10個人版ESU到2027年10月</strong></span></a></p> <p>微軟本週低調透過官方部落格公告，針對個人用戶提供的Windows 10延伸安全更新（ESU），將免費展延一年到2027年10月12日。原先個人版ESU微軟只規畫一年，讓用戶能有更多時間轉移到Windows 11。但依據Windows 10的市佔，一旦無法獲得安全更新，這些電腦將成為為數龐大的駭客攻擊目標。根據StatCounter的統計，在所有搭載Windows作業系統的電腦上，仍有超過四分之一（26.4%）執行Windows 10。<a href="https://www.ithome.com.tw/news/176825">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176876"><span style="font-size: 22px;"><strong>Google發布Chrome 149穩定版更新，修補18項漏洞，4項屬於重大等級</strong></span></a></p> <p>Google發布Chrome電腦版瀏覽器新版本149.0.7827.196與149.0.7827.197，共納入18項資安漏洞的修補。本次發布的重大漏洞有4項，以CVSS嚴重性評分來看，最嚴重的是涉及3D圖形元件WebGL的兩項漏洞：CVE-2026-13028與CVE-2026-13032，CVSS評分都達到9.6分，且都屬於沙箱逃逸問題。次之是Blink的CVE-2026-13033，以及Autofill的CVE-2026-13038，CVSS評分都達到8.8分，為越界讀取與記憶體已釋放卻仍被使用（UAF）問題。<a href="https://www.ithome.com.tw/news/176876">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176867"><span style="font-size: 22px;"><strong>Linux網頁式管理工具Webmin修補XSS漏洞</strong></span></a></p> <p>開源伺服器管理工具Webmin近日發布更新，修補儲存型跨網站指令碼（Stored XSS）漏洞CVE-2026-22678。Webmin是廣泛使用的Linux伺服器網頁式管理工具，可透過瀏覽器管理帳號、服務、網路與系統設定，目前在全球大約維持100萬臺伺服器的安裝規模，因此相關漏洞可能影響眾多自行架設的伺服器環境，導致攻擊者藉此竊取工作階段資訊、憑證或其他敏感資料，冒用管理者帳號執行操作。2.640版之前的Webmin都受影響，用戶應更新至2.641版。<a href="https://www.ithome.com.tw/news/176867">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176749"><span style="font-size: 22px;"><strong>蘋果修補可讓駭客竊聽Beats藍牙耳機的漏洞</strong></span></a></p> <p>蘋果上週針對Beats無線耳機發布韌體更新，以修補可讓駭客竊聽音訊的漏洞CVE-2025-20701，本項漏洞讓位於藍牙傳輸範圍的攻擊者得以在還沒有配對、正在尋求配對指令的Beats耳機進行攻擊，得以從麥克風進行竊聽。該漏洞最早由德國資安業者ERNW去年揭露、位於聯發科子公司達發科技（Airoha）設計的藍牙音訊系統單晶片（SoC），攻擊者未經用戶同意即可配對藍牙音訊裝置，導致提升權限，過程中無需額外執行權限，也無需使用者互動。<a href="https://www.ithome.com.tw/news/176749">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176895"><span style="font-size: 22px;"><strong>Deno 2.9推出，針對軟體供應鏈安全的改進是特色之一</strong></span></a></p> <p>JavaScript與TypeScript執行環境Deno發布2.9版，新增實驗性的deno desktop工具，讓開發者可將JavaScript與TypeScript網頁專案封裝成桌面應用程式，開發者可用既有網頁技術建立Windows、macOS與Linux應用。供應鏈安全也是本次改版的重點，Deno 2.9預設啟用NPM套件最短發布時間限制，預設不安裝發布未滿24小時的NPM套件版本，降低開發者立即取得遭竄改套件的風險。<a href="https://www.ithome.com.tw/news/176895">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176883"><span style="font-size: 22px;"><strong>Uber Eats揭Agent購物助手技術架構，當中也說明護欄和安全執行方式</strong></span></a></p> <p>Uber Eats日前揭露Agent購物助手Cart Assistant背後的技術設計，談到當中採用的多種安全與品質控管，亦即AI護欄（Guardrails）。他們表示，這些防護機制，有助於購物助手區分雜貨購物請求與不受支援的意圖，抵禦提示注入及指令劫持的嘗試，並確保購物車決策與生成的文字皆以商品目錄資料、購物車狀態及受支援的產品功能為依據，目的是避免Agent產生看似合理、但實際上不適合的購物結果。<a href="https://www.ithome.com.tw/news/176883">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176755"><span style="font-size: 22px;"><strong>Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現</strong></span></a></p> <p><a href="/sites/default/files/images/BLOG-3344_2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BLOG-3344_2-63.jpg" style="width: 300px; float: right;" /></a>資安業者Cloudflare近日公開其內部AI輔助漏洞探索架構，說明該公司如何將AI代理用於大規模程式碼安全檢查。Cloudflare的架構將AI代理視為執行特定任務的工作單元，底層模型可依階段替換。Cloudflare將整體流程分成兩部分，前段是負責掃描程式碼庫並產生候選漏洞的漏洞探索框架（VDH），後段則是負責去除重複項目、判斷風險與協助修補的漏洞驗證系統（VVS）。Cloudflare採用跨模型方式執行VDH與VVS，讓後段模型以獨立邏輯驗證前段模型提出的漏洞假設，避免由同一模型驗證自身推論。<a href="https://www.ithome.com.tw/news/176755">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176879"><span style="font-size: 22px;"><strong>AI代理進入企業IT營運核心，Gartner指出AI治理將成為企業IT營運的新挑戰</strong></span></a></p> <p>Gartner預測未來IT營運將逐步朝向由AI代理（AI Agent）協助執行監控、分析與修復工作的模式發展，形成AI代理驅動的IT營運（Agentic IT Ops），但同時也帶來新的治理挑戰，必須結合人機協作（Human-in-the-loop）的治理機制。同時，企業可透過標準化的AI工廠架構，支援大規模「AI即服務」（AIaaS）的安全交付，為此，企業也必須從最初的架構設計階段開始，就考量主權資料合規性、大型模型的多樣性，以及多代理系統的可擴展性。<a href="https://www.ithome.com.tw/news/176879">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176893"><span style="font-size: 22px;"><strong>F5併購SurePath AI，延續與擴張公司長期發展的網路層資安防護策略，強化AI治理能見度與安全性</strong></span></a></p> <p>從傳統應用遞送（ADC）轉型、如今專注發展多雲應用安全與多雲網路（MCN）的 F5，本週發表AI資安平臺F5 AI Security Platform（AISP），為企業提供持續保護使用AI的能力，涵蓋探查、安全性測試、治理、AI執行階段防護，以及可觀測性，也宣布併購資安新創公司SurePath AI。F5強調，由於SurePath的加入，F5 AISP能夠在不需直接整合應用程式的狀態下，透過網路即可探查現行企業環境採用的AI服務，識別包含影子AI在內的企業AI使用情況。<a href="https://www.ithome.com.tw/news/176893">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176877"><span style="font-size: 22px;"><strong>駭客平均4.32天就能入侵企業內網，臺灣企業資安防線為何一再被打穿？</strong></span></a></p> <p>【臺灣資安大會直擊】入侵一間公司需要多少時間？戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩指出，該公司自2017年推出紅隊演練服務以來，累計服務逾75間企業、執行超過150次演練，得到的結論是平均只需要4.32天就可能被打進內網，七成八專案核心系統遭控制、逾八成員工密碼可被破解。徐念恩認為，問題不只在漏洞，而是企業對風險的理解，仍停留在產品部署與合規稽核，與攻擊者真正的入侵邏輯存在明顯落差。<a href="https://www.ithome.com.tw/news/176877">詳全文</a></p> </div></div></div>
6/26 14:22作者周峻佑https://www.ithome.com.tw/news/176902
南非殯葬與保險巨頭遭駭導致服務中斷，改人工作業並證實個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>南非知名殯葬服務與保險機構AVBOB傳出遭網路攻擊，導致服務中斷與資料外洩。當地ITWeb等商業科技媒體於6月8日報導<strong><a href="https://www.itweb.co.za/article/malicious-actors-take-down-avbobs-digital-platforms/5yONP7Erd6QMXWrb">指出</a></strong>，AVBOB已確認該網路攻擊事件導致其部分服務中斷，並強調各單位仍維持營運，在這段受影響的期間，可透過人工方式辦理付款、理賠登記和喪葬安排等事項。</p> <p>隨後AVBOB進一步揭露事故細節，目前民眾進入<strong><a href="https://avbob.zero-data.co.za/">該公司官方網站</a></strong>，即可看見資料外洩公告的彈出視窗，當中說明這起事故的發現是在5月30日，公司隨即展開事件應變計畫，同時依據當地<strong>個資法（POPIA）</strong>規定，通報資訊監管局及所有受影響者。</p> <p>另外，該公司也發布<strong><a href="https://www.avbob.co.za/media/pdf/digital-systems-questions-and-answers.pdf">個資外洩事件問與答</a></strong>，當中提醒民眾留意要求提供密碼或OTP驗證碼的可疑通訊，定期更改密碼，並仔細核對銀行帳戶明細。同時進一步揭露外洩資訊可能包含姓名、聯絡方式、帳戶或保單資料。不過，目前尚未提及受影響人數，而根據該公司網站公告，該公司擁有近300萬名保戶、超過900萬名被保人。<br /> <a href="https://www.avbob.co.za/media/pdf/digital-systems-questions-and-answers.pdf"><img alt="" src="/sites/default/files/images/%E5%8D%97%E9%9D%9EAVBOB%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9Q%26A.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/26 16:40作者羅正漢https://www.ithome.com.tw/news/176903
23個OpenClaw技能外掛利用搶註手法上架ClawHub官方市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.manifold.security/blog/scope-squatting-clawhub-plugins" target="_blank">研究人員發現</a>OpenClaw的官方外掛（plugin）市集系統被人濫用，導致有23個看似為官方出品的外掛，其實是來自不相干的開發組織。</p> <p>AI代理安全業者Manifold Security檢查ClawHub（OpenClaw外掛的官方註冊目錄或市集）時，發現有近似冒用知名開發商品牌的外掛。他們發現OpenClaw外掛目錄中的1,508個外掛裡，有557個採用了「@某個owner/套件」名稱這種命名方式。但若研究發佈帳號，他們發現不是每個外掛命名空間（Scope）都是屬於經驗證的開發持有人（Owner），例如Microsoft、Google。</p> <p>研究人員發現，23個發布於@OpenClaw/或@ClawHub/命名空間（namespace）下技能外掛，屬於和OpenClaw或ClawHub不相關的組織。</p> <p>ClawHub對上傳的技能外掛有一條「外掛的命名空間應與其持有人相符」，但是並沒有全面強制實施。而且OpenClaw專案組織的命名空間，也接納所有外掛。由於ClawHub自己推出的正牌外掛是使用@openclaw，如@openclaw/whatsapp或@openclaw/codex，大部份使用者對@openclaw/security-gate、@openclaw/fiat-wallet、@clawhub/aisa-twitter-api下的外掛的真實性不疑有它。</p> <p>研究人員找到的23個外掛不一定為惡意程式，也沒有證據顯示它們已經攻擊使用者，但透過命名空間搶註（scope squatting），這些第三方外掛可以冒充官方外掛藉此引發供應鏈風險，使不知情的開發商或將之加入自己的App流程中。</p> <p>ClawHub在6月17日接獲通報後強化了管制。ClawHub自己的FAQ頁聲明，只有具有@openclaw存取權的出版商才可以發佈openclaw或clawhub下的外掛。6月19日，ClawHub已將名稱誤導的23個外掛從公開目錄移除。他們並在專屬命名空間加入了命名空間宣告申訴流程，讓那些被搶註命名空間的品牌或知名開發商可免除被冒用命名空間。</p> </div></div></div>
6/26 15:29作者林妍溱https://www.ithome.com.tw/news/176905
生成式AI年化營收突破1,750億美元，報告指AI需求已獲營收驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國科技研究平臺<a href="https://www.exponentialview.co/p/the-state-of-the-ai-economy" target="_blank">Exponential View周四（6/25）發布首份《AI經濟報告》</a>（The State of the AI Economy）報告，試圖衡量生成式AI的真實市場需求。報告指出，若排除重複計算並不含中國市場，生成式AI過去12個月創造1,100億美元營收，最新年化營收規模更突破1,750億美元，顯示AI需求已獲實際支出驗證。</p> <p>Exponential View的模型採用由下而上的方式，逐項追蹤企業與消費者實際支付的AI支出，資料來自公司財報、公開說法、可信媒體報導與外洩資訊，並依可信度加權；若同一筆收入在App、模型供應商與雲端業者之間流動，則只計算終端客戶支出，以避免重複計算。</p> <p>報告指出，AI經濟營收主要來自AI應用、基礎模型與AI基礎設施3個層次，目前仍集中於AI基礎設施與代管服務，也就是模型供應商與AI應用業者為執行推論而支付的雲端算力費用；不過，AI應用與模型供應商的營收占比正在提高。</p> <p>事實上，生成式AI需求正以遠快於歷次IT浪潮的速度成長，其營收成長速度約為網際網路、行動裝置及雲端等技術浪潮的3倍。</p> <p>此外，AI需求快速擴大，也帶動整體AI基礎建設同步升溫。報告指出，AI資料中心用電規模快速放大，最大型AI運算中心已從數十MW等級提升至數百MW、甚至GW等級；美國發電量在2008年至2024年間幾乎沒有成長，但自2024年起年增幅已由歷史平均的6TWh提高至9TWh，增速提升約50%；Nvidia AI晶片供貨承諾金額一年內也由310億美元增至950億美元，反映AI運算、資料中心及能源投資正持續加速。</p> <p>即便如此，AI對整體經濟的影響仍處於早期階段。若以美國GDP作為比較基準，全球不含中國的AI營收僅相當於美國GDP的0.42%，遠低於IT產業占GDP的9.4%；而企業目前回報的AI效益，也多集中在降低成本、節省時間與提高產出等效率面，直接帶動營收成長的案例仍相對有限。</p> <p>報告認為，AI經濟接下來最大的考驗在於能否支撐龐大的基礎建設支出。Exponential View估算，超大規模雲端業者與新興AI雲端業者到2026年累計資本支出將達2兆美元，其中AI相關支出較原本趨勢多出約5,350億美元，意味著生成式AI營收必須持續成長，才能消化資料中心、GPU與能源建設帶來的成本壓力。</p> </div></div></div>
6/26 15:42作者陳曉莉https://www.ithome.com.tw/news/176907
加州推出AI失業追蹤器，監測AI對勞動市場衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.ca.gov/2026/06/25/california-becomes-the-first-state-to-launch-a-tool-to-monitor-and-track-artificial-intelligences-impacts-on-the-workforce/" target="_blank">美國加州州長Gavin Newsom周四（6/25）宣布推出</a>全美首個AI失業追蹤器（California AI-Unemployment Tracker，CAIT），透過分析失業保險申請資料與各職業受AI影響程度。首份報告顯示，AI尚未在加州引發大規模失業，但灣區與部分高AI暴露職業已出現失業申請增加跡象。</p> <p>AI失業追蹤器由加州就業發展部（EDD）與加州大學旗下California Policy Lab合作開發，每月更新一次，以失業保險申請資料為基礎，並結合各職業受AI影響程度進行分析，作為監測AI是否衝擊勞動市場的早期預警工具。</p> <p>加州政府表示，推出這項工具並非認定AI已造成失業潮，而是希望在勞動市場出現明顯變化前，先掌握可能率先受到衝擊的族群，進而提前提供求職協助、職業訓練、技能提升及醫療保險諮詢等支援。</p> <p>根據首份報告，截至今年5月，加州並未出現高AI曝露職業失業保險申請大幅增加的現象，顯示AI尚未引發大規模失業。不過，自ChatGPT-3.5於2022年底推出後，具大學以上學歷且從事高AI曝露職業的勞工，失業保險申請數量已有增加趨勢；灣區高AI曝露職業的失業申請也持續高於生成式AI普及前的水準。研究則未發現不同種族、性別或年齡族群出現明顯不成比例的AI失業現象。</p> <p>此外，專業服務業及資訊業等科技相關產業的高AI暴露職業失業保險申請較為突出。其中專業服務業在ChatGPT-3.5推出後短暫激增後仍維持偏高，資訊業則在2025年底回到生成式AI普及前的水準。</p> <p>California Policy Lab是依據各職業工作任務可被AI縮短工時的程度，以及相關任務實際被AI工具處理的頻率，計算職業AI曝露分數，並將前25%的職業歸類為高AI曝露職業，包括數學家、校對人員、通信文書、媒體與傳播工作者、電腦程式設計師、資料庫管理員、資料輸入人員、統計助理，以及口筆譯人員等。</p> <p><a href="https://capolicylab.org/news/california-launches-first-in-the-nation-tool-linking-ai-exposure-to-unemployment-insurance-trends/" target="_blank">California Policy Lab強調</a>，CAIT不能判定個別裁員是否由AI直接造成，疫情後科技業調整及整體經濟環境也可能影響結果。因此，這套追蹤器應被視為早期預警系統，而非AI造成失業的直接證據。</p> <p>美國媒體則指出，這項追蹤器的意義不在於證明AI已造成失業，而是讓政府首度以官方數據持續驗證AI對就業市場的實際影響，將過去對AI取代工作的推測，轉化為可長期追蹤的量化指標，也為其他州政府未來因應AI勞動衝擊提供參考。</p> </div></div></div>
6/26 15:05作者陳曉莉https://www.ithome.com.tw/news/176904
執法行動Operation Endgame瓦解惡意軟體Amadey、StealC、SocGholish的犯罪網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>掃蕩駭客從事勒索軟體攻擊、金融詐欺、攻擊關鍵基礎設施的執法行動Operation Endgame，最近出現新的斬獲。6月24日歐洲刑警組織（Europol）宣布，在加拿大、丹麥、德國、荷蘭、英國、美國的執法機關與民間企業組織聯手，由歐洲刑警組織與歐盟刑事司法合作署（Eurojust）居間協調之下，成功在兩週的時間裡，破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。</p> <p>此次行動共癱瘓326臺伺服器、封鎖142個網域，查獲逾4,100萬歐元（約4,700萬美元）與犯罪活動相關的加密貨幣，並追回約2,700萬筆被竊的登入憑證。執法人員亦清理14,971個遭到感染的WordPress網站，這些網站被用於散布SocGholish。執法單位透過接管網域名稱並讓伺服器離線，來癱瘓SocGholish殭屍網路，然後藉由Have I Been Pwned、DIVD、Spamhaus、Check je Hack、No More Leaks，以及Shadowserver基金會與NL-NCSC等管道，通知網站管理員憑證外洩。</p> </div></div></div>
6/26 13:57作者周峻佑https://www.ithome.com.tw/news/176899
Deno 2.9新增桌面應用工具，網頁專案可封裝成跨平臺應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://deno.com/blog/v2.9#deno-desktop">JavaScript與TypeScript執行環境Deno發布2.9版</a></strong>，新增實驗性的deno desktop工具，讓開發者可將JavaScript與TypeScript網頁專案封裝成桌面應用程式。該功能讓Deno從伺服器端與命令列執行環境，擴大到桌面程式開發，開發者可用既有網頁技術建立Windows、macOS與Linux應用。</p> <p>deno desktop可指定一支指令碼作為進入點，也可用於既有網頁框架專案。Deno說明，應用介面會在桌面視窗中的網頁檢視元件執行，應用邏輯則由Deno處理，最後產生可發布的執行檔。開發者在專案目錄執行指令時，Deno也可運用既有框架偵測能力，自動辨識Next.js等網頁框架，將專案建置後包裝成桌面應用。</p> <p>在顯示引擎選擇上，deno desktop預設使用作業系統內建元件。Windows使用WebView2，macOS與Linux使用WebKit，因此應用程式不必額外包入完整瀏覽器引擎，封裝體積可相對縮小。若開發者需要各平臺呈現結果更一致，也可選擇內含Chromium Embedded Framework，但檔案體積會增加數十MB，建置時也需要下載相關元件。</p> <p>Deno 2.9也補強既有Node專案導入Deno的流程，新版deno install可讀取npm、pnpm、Yarn與Bun使用的套件版本鎖定檔，在沒有Deno鎖定檔時建立新的deno.lock，並沿用原本相依套件版本與完整性資訊。對使用pnpm工作區的專案，Deno也會讀取pnpm-workspace.yaml設定，降低工作區專案轉換到Deno時的相依套件解析問題。</p> <p>本次更新還包括效能與供應鏈安全改進，依Deno官方在專用x86_64 Linux機器上的測試，2.9版Hello World程式冷啟動時間從2.8版的34.2毫秒降至17.3毫秒，Deno.serve在多項測試工作負載下也提高吞吐量並降低記憶體使用。供應鏈安全方面，Deno 2.9預設啟用NPM套件最短發布時間限制，預設不安裝發布未滿24小時的NPM套件版本，降低開發者立即取得遭竄改套件的風險。</p> <p>Deno 2.9已可透過deno upgrade更新，官方也提醒deno desktop在此版本仍屬實驗性功能，部分平臺功能仍待補齊。</p> </div></div></div>
6/26 12:27作者李建興https://www.ithome.com.tw/news/176895
微軟悄悄展延Windows 10 ESU到2027年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windowsexperience/2025/06/24/stay-secure-with-windows-11-copilot-pcs-and-windows-365-before-support-ends-for-windows-10/" target="_blank">微軟本周低調透過官方部落格公告</a>，針對個人用Windows 10 PC提供的延伸安全更新（Extended Security Update,ESU）將再免費展延一年到2027年10月。</p> <p>微軟指出Windows 10 ESU的涵蓋時期將可擴展到2027年10月12日，這次展延可提供客戶更多時間轉移到新的Windows 11 PC，同時持續獲得關鍵的安全更新。</p> <p>微軟在2025年10月14日終止Windows 10技術支援，並且提供了ESU讓Windows 10 PC能獲得安全更新。除了支付1年30美元這項方案外，<a href="https://www.ithome.com.tw/news/169709" target="_blank">微軟還提供二種免費路徑</a>。一是以Microsoft Rewards 1000點兌換ESU。二是登入Microsoft帳戶後，使用Windows備份Backup功能將Windows設定同步到雲端。歐盟地區用戶則可不需登入Microsoft帳戶或啟用Windows備份即可享用ESU。</p> <p>原先ESU只設定為一年，但依據Windows 10的市佔，一旦無法獲得安全更新，這些PC將成為為數龐大的駭客攻擊目標。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據StatCounter的統計</a>，在所有Windows PC上，Windows 11市佔率為71.7%，Windows 10佔比仍然還有26.4%。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-quietly-extends-free-windows-10-esu-support-to-october-2027/" target="_blank">Bleeping Computer說明</a>，這次宣佈是消費版ESU的更新。必須注意的是，<a href="https://www.microsoft.com/zh-tw/windows/extended-security-updates?r=1" target="_blank">微軟官網說明</a>，消費版ESU適用個人使用的Windows 10裝置，包括家用及個人用PC，不適用企業中加入Active Directory網域、Microsoft Entra或由Mobile Device Management管理的商務電腦。不過僅在Microsoft Entra註冊的裝置則可適用。</p> <p>今天起，註冊精靈選項可在Windows Insider方案中使用，微軟預告7月會提供給Windows 10用戶，並預計8月中全面上線。</p> </div></div></div>
6/26 12:45作者林妍溱https://www.ithome.com.tw/news/176897
Klue供應鏈攻擊影響範圍擴大，AI營收情資平臺Gong的用戶也受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Salesforce揭露Klue供應鏈攻擊，並<strong><a href="https://www.ithome.com.tw/news/176798">宣布切斷Klue Battlecards應用程式與用戶的Salesforce系統連結</a></strong>因應。然而就在有許多受害公司證實他們的Salesforce因此出現未經授權存取的情形之際，有另一家公司指出，他們的用戶也可能遭到這波供應鏈事故波及。</p> <p>6月19日<strong><a href="https://www.gong.io/blog/klue-security-incident">AI營收情資平臺Gong表示</a></strong>，同時使用Klue進行整合的用戶，有可能受到這起事故波及。對此，Gong已撤銷所有與Klue整合的相關存取權限，停用與整合相關的權杖（token），封鎖Klue入侵指標（IoC）提及的4個攻擊來源IP位址。所有Klue用戶端對Gong的API請求都將會被封鎖，Gong也主動聯繫客戶通知此事，並對於客戶進行的調查工作提供協助。Gong強調，該公司產品或系統，以及客戶存放的電話錄音與逐字稿，皆未受到影響。</p> </div></div></div>
6/26 12:49作者周峻佑https://www.ithome.com.tw/news/176898
蘋果調漲Mac及iPad等硬體裝置價格，漲幅15%起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果周四（6/25）調漲了旗下從HomePod、iPad、MacBook到iMac的價格，漲幅從15%到25%不等，臺灣蘋果線上商店的價格也已同步調漲，<a href="https://www.apple.com/tw/shop/buy-mac/macbook-air" target="_blank">13吋MacBook Air的新售價為42,900元新臺幣</a>，上周還只有35,900元新臺幣，一口氣漲了7,000元。此波蘋果硬體產品調漲並未波及iPhone。微軟亦於同一天宣布自8月1日起於全球調漲Xbox遊戲主機售價。</p> <p>其實<a href="https://www.wsj.com/tech/apple-price-increases-memory-supply-199845b1" target="_blank">蘋果執行長庫克（Tim Cook）上周就曾向華爾街日報（The Wall Street Journal，WSJ）透露</a>，蘋果已無力負擔記憶體與儲存的上漲成本，不得不調漲產品售價。</p> <p>過去蘋果一向是利用新產品發表時機來調整售價，此次蘋果一口氣調漲眾多產品價格，雖未發布新聞稿，但在媒體詢問下發表了聲明，指出消費性電子產業正面臨前所未有的挑戰，AI資料中心快速擴張，使得記憶體與儲存元件需求暴增，蘋果表示，從未見過零組件價格在這麼短時間內如此大幅上漲。</p> <p>這次總計有十多項蘋果產品調漲價格，如HomePod mini從99美元漲至129美元，Apple TV從129美元漲至199美元，iPad從349美元漲至449美元，MacBook Air從1,099美元漲至1,299美元，MacBook Pro從1,699美元漲至1,999美元，iMac從1,299漲至1,499美元，入門款的MacBook Neo也從599美元漲至699美元。</p> <p>市場調查機構指出，AI資料中心需求自2025年下半年起快速排擠消費性電子用記憶體供應，推升DRAM與NAND價格連續數季大漲。<a href="https://counterpointresearch.com/en/insights/Memory-Prices-Surge-Up-to-90-From-Q4-2025" target="_blank">Counterpoint表示</a>，2026年第1季記憶體價格已較2025年第4季上漲80%～90%，包括DRAM、NAND與HBM。</p> <p><a href="https://www.trendforce.com/presscenter/news/20260202-12911.html" target="_blank">TrendForce則說</a>，由於2025年第4季的PC出貨量優於預期，導致PC DRAM全面短缺，就算是一線PC品牌廠已取得記憶體供應商配額，庫存水位仍持續下滑。預估2026年第2季傳統DRAM合約價將再季增58%～63%，NAND Flash合約價也將季增70%～75%，顯示AI需求帶動的記憶體漲勢仍未趨緩。</p> <p>除了蘋果外，<a href="https://news.xbox.com/en-us/2026/06/25/xbox-console-price-update/" target="_blank">微軟也趁機宣布</a>，將自8月1日全面調漲Xbox遊戲主機售價，512GB機型調漲100美元，1TB機型調漲150美元，並將停產2TB機型。</p> <p>微軟表示，遊戲主機所使用的儲存及記憶體價格已漲逾2.5倍，預計到2027年秋季前還會再翻倍；有別於手機、電腦或喇叭等消費性電子產品，遊戲主機通常是以低於製造成本的價格出售，而非依靠硬體本身獲利，因此更難吸收零組件成本上漲帶來的衝擊。</p> </div></div></div>
6/26 11:58作者陳曉莉https://www.ithome.com.tw/news/176894
【資安週報】0622-0626，FortiBleed憑證外洩事件受矚目，Klue供應鏈攻擊風暴更延燒至多家資安業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週爆發兩起重大資安事故，包括FortiBleed大規模系統登入憑證外洩，以及Klue供應鏈攻擊導致多家資安業者的Salesforce資料外洩，相關消息不斷傳出引發業界高度關注。</p> <p>在漏洞修補態勢上，OpenAI發起Patch the Planet計畫，還有Chainguard成立Athena聯盟，顯現產業界有多方陣營正協助強化開源軟體安全；PQC遷移動向亦受關注，特別是金管會已發布金融業後量子密碼遷移參考指引，美國政府也命令聯邦指定遷移負責人。</p> <p>在技術焦點方面，資安新創Ent憑藉AI意圖感知技術重塑端點防護並獲億美元募資，其是否帶動端點安全的新變革備受期待；此外，身分安全領域的併購案同樣受矚目，反映出在非人類身分（NHI）管理趨勢下，身分生命週期安全與即時存取治理技術，正成為市場高度看好的核心需求。</p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在AI資安領域，協助開源安全再有新進展，OpenAI聯手業界發起Patch the Planet計畫協助修補漏洞，同時，AWS在資安治理強化上新推出兩款資安代理亦受關注，還有前沿AI模型議題持續成為新聞焦點。另外，AI應用程式框架Mastra內部開發團隊成為攻擊目標，駭客入侵後發動供應鏈攻擊並散布140個惡意NPM套件，此事故的後續發展亦備受關注。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176787">OpenAI擴大Daybreak資安計畫，發表Patch the Planet協助開源專案修補漏洞</a></strong></p> <p>OpenAI在5月中旬發表資安防禦計畫Daybreak，一個月後該公司宣布擴大計畫，不僅推出專為資安打造的完整版GPT-5.5-Cyber模型與升級版Codex Security工具，並聯手業界發起「Patch the Planet」計畫以拯救人力吃緊的開源專案，協助開源專案維護者驗證漏洞、排除重複通報並提交修補程式，首批已有超過30個開源專案參與，此舉再次突顯資安瓶頸已從尋找漏洞轉向修補漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176725">AWS推出Context知識圖譜與Continuum資安代理服務，強化企業AI代理部署</a></strong></p> <p>AWS不僅發表可自動建立企業知識圖譜的新AI代理服務AWS Context，還有另一大重點是全新的AI-native資安產品線Continuum，前者強化AI代理人的資料理解能力，後者強化AI代理人的安全治理能力，協助企業加速部署AI代理人應用。AWS表示，企業面臨的漏洞數量正快速增加，因此AWS推出Continuum，希望透過結合脈絡資訊、推理及自動化行動的AI代理人架構，協助企業以接近機器速度處理安全問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/176823">美國限制Anthropic Fable與Mythos模型存取，疑與NSA相關紅隊測試結果有關</a></strong></p> <p>美國政府於6月12日以國安疑慮為由，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。在一場受控安全評估中，Mythos於數小時內突破多項與美國國家安全局（NSA）相關的模擬評估目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/176789">五眼聯盟示警前沿AI將改變網路攻防，籲企業加速強化資安韌性</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_114603.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_114603.jpg" style="width: 400px; float: right;" /></a></p> <p>由美國、英國、加拿大、澳洲與紐西蘭組成的情報共享組織五眼聯盟，於6月22日發布聯合聲明，警告前沿AI模型（frontier AI model）可能在數個月內改變網路攻防能力，AI一方面可強化防禦能力，但同時也會降低惡意行為者攻擊門檻，進一步壓縮漏洞從被發現到遭到利用的防禦空窗期，企業與公部門必須加速強化網路韌性。</p> <p><strong><a href="https://www.ithome.com.tw/news/176764">AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM套件被植入後門</a></strong></p> <p>微軟揭露針對AI應用程式框架Mastra的攻擊，駭客先奪取開發成員的NPM維護帳號，得到整個@mastra的發布權限，採用名稱冒充手法發布惡意套件，將其偽裝成每週下載超過5,700萬次的程式庫dayjs。接著，駭客再利用竊得帳號，於@mastra旗下NPM套件，發布有問題的新版本，一旦使用者安裝，攻擊者就會透過掛鉤（hook）執行經混淆處理的惡意程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176825">逾6成LLM iOS App暴露AI服務存取資訊</a></strong></p> <p>維克森林大學（Wake Forest University）研究人員公布一項實證研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，沒有妥善保護AI服務存取資訊，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176801">Cloudflare加入支援微軟、Google及Mozilla合推的網頁安全協定PACT</a></strong></p> <p>瀏覽器業者微軟、Google、Mozilla與Shopify推動PACT協定（Private Access Control Tokens）的採用，近日Cloudflare宣布加入採用的行列，以確保AI代理人自動化網頁作業的安全性及效率。PACT的宗旨是讓使用者網站提供匿名化令牌（token）給要登入的網站，證明行為者是真人，藉此取代困難的CAPTCHA同時防範網頁爬蟲，並不會辨識使用者個人身分或追蹤其上網活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/176755">Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現</a></strong></p> <p>網路服務與資安業者Cloudflare於6月18日公開其內部AI輔助漏洞探索架構，說明該公司如何將AI代理用於大規模程式碼安全檢查。Cloudflare將大型漏洞探索任務拆解為多個階段，讓每個代理只處理特定範圍的工作，並將執行狀態寫入資料庫，以便中斷後重新執行或接續分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/176730">資安業者揭露M365 Copilot資訊外洩攻擊手法，透過點擊連結即可誘導AI助理洩漏敏感資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176799">熱門Chrome瀏覽器AI擴充套件存在重大漏洞，逾千萬用戶面臨敏感資料遭竊風險</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近期Klue供應鏈攻擊引發的大規模資料外洩成為焦點，由於去年已發生Salesloft Drift、Gainsight兩起事故，此事故再次突顯Salesforce第三方應用程式依然被駭客鎖定的目標，而且類似的滲透手法再次奏效。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176798">Salesforce停用Klue Battlecards應用程式整合，起因是第三方應用程式供應商遭到攻擊</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115037.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115037.jpg" style="width: 400px; float: right;" /></a></p> <p>近日CRM雲端服務大廠Salesforce宣布停用Klue Battlecards應用程式與Salesforce之間的連接，起因是偵測Klue Battlecards異常活動，導致部分用戶資料遭非法存取。AI競爭情報公司Klue說明攻擊者透過與整合服務相關的外流憑證得到存取權，竊取Klue連接第三方平臺所用的OAuth權杖，存取第三方平臺資料。另根據威脅情報公司<strong><a href="http://www.ithome.com.tw/news/176833">ReliaQuest指出，此犯案過程僅不到一天</a></strong>，攻擊者透過遭入侵的整合服務，利用OAuth權杖及自動化REST API查詢，大規模竊取Salesforce用戶的資料。值得關注的是，這起供應鏈攻擊事件已演變大規模資料外洩事件，<strong><a href="https://www.ithome.com.tw/news/176822">ShinyHunters聲稱Klue供應鏈攻擊是他們發動的</a>，</strong>並以外洩資料要脅該公司與勒索團體Icarus聯繫。</p> <p><a href="https://www.ithome.com.tw/news/176827"><strong>多家資安公司確認Salesforce系統發生資料外洩，起因是Klue供應鏈攻擊</strong></a></p> <p>Klue供應鏈攻擊事故持續延燒，已導致多家知名資安業者的Salesforce客戶資料外洩，<strong><a href="https://www.ithome.com.tw/news/176820">威脅情報公司Huntress首先表示他們受到影響</a></strong>，並公布相關調查結果，後續有多家資安公司也公告證實受害，包括<strong><a href="https://www.hackerone.com/security-updates/klue-2026-06">HackerOne</a></strong>、Huntress、<strong><a href="https://status.insurity.com/incidents/vhhrc014kn85">Insurity</a></strong>、<strong><a href="https://www.jamf.com/blog/klue-incident/">Jamf</a></strong>、<strong><a href="https://www.onetrust.com/blog/update-from-onetrust-on-klue-salesforce-security-incident/">OneTrust</a></strong>、<strong><a href="https://www.recordedfuture.com/blog/klue-security-incident">Recorded Future</a></strong>、<strong><a href="https://status.snyk.io/incidents/3gw3m2ppwbp3">Snyk</a></strong>、<a href="https://support.sproutsocial.com/hc/en-us/articles/46754555170701-Klue-Security-Incident-June-2026" style="font-weight: bold;">Sprout Social</a>、<strong><a href="https://www.tanium.com/blog/security-update-taniums-response-to-the-klue-breach-that-allowed-data-exfiltration-from-salesforce/">Tanium</a></strong>。後續，還有<a href="http://www.ithome.com.tw/news/176821"><strong>LastPass</strong></a>、<a href="https://www.ithome.com.tw/news/176878">BeyondTrust</a>也同樣證實遭到波及。</p> <p><strong><a href="https://www.ithome.com.tw/news/176760">醫療業勒索軟體風險升高，臺灣列受害案例增幅明顯地區</a></strong></p> <p>臺灣醫療產業注意！資安威脅情報業者Cyfirma近日發布醫療產業威脅報告。在勒索軟體方面，過去90天全球共有2,388個組織受害，其中醫療業占216個（約10％），在14個產業中居於第3，且受害數量較前期的199個持續攀升。從區域來看，受害組織分布已從33國擴散至42國，雖然美國仍是最大受害者，但臺灣、印度、德國與中國的遭襲案例增幅相當顯著。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191133&SPOKE_DATE=20260622&COMPANY_ID=6230">散熱解決方案廠商尼得科超眾遭勒索軟體攻擊</a></strong></p> <p>替筆電、伺服器、顯示卡、網通設備及資料中心提供散熱產品與熱管理技術的尼得科超眾（6230），於昨日晚間7時11分發布資安重訊，表示部分伺服器遭勒索軟體攻擊，導致部分資訊系統無法正常運作，其中包括了ERP。尼得科超眾在察覺異狀後，立即啟動防禦機制與斷網隔離措施因應，而對於這起事故帶來的影響，該公司表示其對於整體營運及財務的影響尚在評估中，並強調將視系統復原進度，調整生產及出貨排程。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180740&SPOKE_DATE=20260622&COMPANY_ID=6425">自動化設備與智慧製造商易發旗下子公司東野精機、日福精工遭網路攻擊</a></strong></p> <p>專門設計、製造及銷售高科技自動化設備的上櫃公司易發精機（6425），於6月22日傍晚發布資安重訊，指出旗下的子公司東野精機與日福精工，遭不明人士入侵，將伺服器的資料加密，導致部分系統無法使用。兩家子公司在偵測到資訊系統遭到攻擊時，資安部門立即啟動相關防禦措施並進行系統復原，目前已陸續恢復。對於這起事故可能會帶來的衝擊，易發表示，根據他們的初步評估，對於兩家子公司運作無重大影響。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=181259&SPOKE_DATE=20260622&COMPANY_ID=6146">耕興資訊系統遭遇資安事件，啟動復原機制並報警處理</a></strong></p> <p>國內無線通訊與射頻測試驗證廠商耕興（6146）於6月22日發布重大訊息，揭露部分資訊系統於6月13日發生網路資安事件。耕興表示，發現異常後已立即啟動資安防禦與系統復原機制，並委由外部資安公司協助調查，同時依程序向警方報案。耕興強調，由於遭受影響的資料檔案均留有備份，因此事件未對公司營運及業務執行造成影響。耕興目前正持續進行事件調查與後續處置，以確認影響範圍及事件原因。</p> <p><strong><a href="https://www.ithome.com.tw/news/176786">印度Tata Electronics證實遭駭，疑似外洩蘋果、特斯拉資料</a></strong></p> <p>勒索軟體組織World Leaks上週在暗網宣稱駭入印度半導體暨電子製造巨擘Tata Electronics，公布了20萬份檔案，以及疑為蘋果、特斯拉的硬體元件設計及規格文件的螢幕擷圖。本週Tata Electronics證實發生資安事故，該公司在幾個星期前發現部分系統發生資安事件，公司立即啟動回應措施，強調此事對其各業務營運未造成影響。</p> <p><a href="https://www.ithome.com.tw/news/176871"><strong>日本電信業者KDDI</strong><strong>遭駭客入侵，6</strong><strong>家ISP</strong><strong>逾1,422</strong><strong>萬筆電子郵件帳號密碼可能外洩</strong></a></p> <p>日本電信業者KDDI公布資安事故，攻擊者利用第三方軟體漏洞入侵其郵件系統，導致提供給6家ISP的郵件平臺遭未授權存取，可能影響超過1,422萬筆電子郵件認證資料。受影響業者包括 BIGLOBE、@nifty、J:COM 等。KDDI 已完成系統修補並通報主管機關，同時呼籲用戶儘速變更郵件密碼，以降低帳號遭濫用風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176710">柯達證實遭駭外洩公司資料，疑兩百多萬筆資料被竊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176752">美國德州政府狩獵與釣魚執照管理系統發生資安事故，外洩300萬人駕照資訊</a></strong></p> <p><a href="https://www.ithome.com.tw/news/176866"><strong>曾於2024年入侵倫敦交通局網路的Scattered Spider兩成員認罪，當時導致該局Oyster退費系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176869"><strong>印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊</strong></a></p> <p><strong><a href="https://www.ithome.com.tw/news/176702">Azure第6代AMD雲端機密虛擬機器供應全球57個區域，臺灣也入列</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176814">Dell同步發布旗下多款主力儲存、備份與資料保護產品安全更新，主要涉及第三方元件漏洞修補</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>端點防禦有新變革，主張運用AI的意圖感知特性將端點防護重新拉回事前預防的資安新創Ent，獲得資安業界少見的1億美元種子輪募資，以及多家全球二千大企業與國防單位導入，此態勢是否帶動日後端點安全市場的技術轉型並引領防禦模式翻轉，已成為業界高度關注的焦點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176805">訴求AI時代端點防禦革新，資安新創Ent首獲1億美元種子輪募資</a></strong></p> <p>近期浮出檯面的資安新創Ent，以種子輪即獲得1億美元挹注而備受矚目。Ent創辦人Elias Manousos指出，傳統偵測應變模式在過去有其價值，但在生成式AI的時代卻會逐漸失效，因此Ent主張運用AI的意圖感知特性，可以將端點防護重新拉回事前預防，在災害發生前防患未然，具體作法是端點的工作空間需要一個防護層，負責蒐集行為遙測、推斷使用者與AI Agent的意圖、區分正常與高風險行為，並建立完整紀錄以在決策瞬間介入，也就是在行為發生的當下即時阻斷風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176855">勒索軟體團體Gentlemen向加盟者提供EDR Killer工具，用於癱瘓受害者端點防護</a></strong></p> <p>ESET研究人員發現，勒索軟體即服務（RaaS）團體Gentlemen已建立多元的 EDR Killer工具生態系，並將其提供給加盟攻擊者使用。這些工具可利用存在弱點或惡意驅動程式提升權限，進而停用受害者的EDR與安全防護產品，協助後續部署勒索軟體。</p> <p><strong><a href="https://www.ithome.com.tw/news/176808">蘋果自研晶片存在BootROM漏洞usbliter8，可破壞應用處理器開機鏈</a></strong></p> <p>資安研究公司Paradigm Shift公開蘋果晶片硬體漏洞usbliter8的研究，揭露Apple A12、A13以及S4/S5等晶片存在BootROM層級漏洞。研究指出，該漏洞涉及晶片內不可變的SecureROM以及USB控制器的資料寫入行為，由於受影響裝置難以透過一般軟體更新根治，換用較新硬體是目前較有效的緩解方式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176751">微軟著手修補Microsoft Defender零時差漏洞RoguePlanet</a></strong></p> <p>根據資安新聞網站Bleeping Computer報導，16日微軟公布Microsoft Defender權限提升漏洞CVE-2026-50656，也是研究人員Chaotic Eclipse（Nightmare-Eclipse）公開的RoguePlanet，影響Microsoft Malware Protection Engine元件，正著手打造資安更新。</p> <div> <p><strong><a href="https://www.ithome.com.tw/news/176791">Windows剪貼簿功能遭濫用，駭客散布USB蠕蟲竊取加密貨幣資產</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115328.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115328.jpg" style="width: 400px; float: right;" /></a></p> <p>微軟揭露專門鎖定Windows電腦的加密貨幣剪貼簿惡意程式（Crypto Clipper），結合剪貼簿竊取、加密錢包地址替換、Tor匿名通訊與蠕蟲式自我擴散等多重手法。攻擊者透過USB隨身碟散布惡意程式，過程中會掃描USB裝置的常見文件，隱藏原始檔案，並建立同名的LNK捷徑檔，導致使用者點開後實際執行的是惡意程式。</p> </div> <p><strong><a href="https://www.ithome.com.tw/news/176781">資安研究人員揭露新型惡意軟體載入工具OXLoader，用於部署竊資軟體CastleStealer</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176724">駭客鎖定遊戲玩家社群，濫用Steam Workshop平臺散布夾帶惡意程式的動態桌布軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176830">QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>FortiBleed大規模系統登入憑證外洩事件為本週最受關注的資安消息，不只臺灣受影響設備數高居全球第三引發關注，還有因應策略特別指出強制管理員帳戶改用PBKDF2雜湊機制的重要性。Fortinet表示，企業若已落實資安最佳實務，則此事件風險極小，顯見協助組織補齊防禦缺口仍是未來重要挑戰。另有威脅情報業者指出，其有如工業自動化般的高效攻擊流程，是此次事件中資安界關注的核心焦點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176718">FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115440.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115440.jpg" style="width: 400px; float: right;" /></a></p> <p>FortiBleed大規模憑證外洩事件！威脅情報平臺InfoStealers示警，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證遭駭客竊取並外洩，受影響設備數量最多的國家，依序是印度、美國、臺灣、墨西哥及土耳其，臺灣名列第三（3,637臺）。這起事件最早由資安研究人員Volodymyr Bob Diachenko於2026年6月中旬發現，調查出攻擊是由多名俄語系操作者組成的威脅組織所主導。後續威脅情資公司SOCRadar揭露<a href="https://www.ithome.com.tw/news/176813">FortiBleed攻擊活動的技術細節，指出駭客利用FortigateSniffer發動攻擊</a>，且攻擊行動自2026年2月即開始，整體攻擊過程主要透過自動化掃描、離線密碼破解技術，以及過往外洩資料來完成。</p> <p><strong><a href="http://www.ithome.com.tw/news/176757">針對FortiBleed事件，多國網路安全機構與Fortinet相繼發布事件應變對策</a></strong></p> <p>針對FortiBleed大規模系統登入憑證外洩事件，<a href="https://www.ithome.com.tw/news/176765">美CISA公布因應FortiBleed的五大措施</a>，其中確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼受關注，此議題在一年半前臺灣資安專家解析國際電信資安指引時即已強調；<a href="https://www.ithome.com.tw/news/176757">英國NCSC也建議企業可先用兩款工具自行檢測是否名列其中</a>，包括威脅情資業者SOCRadar與Hudson Rock提供的FortiBleed檢查工具；Fortinet研判FortiBleed為舊資料再散布，並公布六大因應對策，其中一項是呼籲用戶儘速將FortiOS升級至7.4、7.6或8.0最新版本，因為這些版本支援使用PBKDF2演算法對管理員密碼進行雜湊處理，另也表示，企業先前若已落實資安最佳實務、此事件風險極小。</p> <p><strong><a href="https://www.ithome.com.tw/news/176739">F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞</a></strong></p> <p>6月17日F5突然針對Nginx發布非例行的安全性更新公告，總共揭露6個漏洞，從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 4.0評分均為9.2，用戶若不修補這兩個漏洞，F5警告遠端攻擊者可能藉此造成Nginx系統面臨服務遭阻斷（DoS），或觸發程式碼執行等狀況。</p> <p><strong><a href="https://www.ithome.com.tw/news/176744">網頁快取與代理伺服器軟體Squid被找出存在29年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！</a></strong></p> <p>資安研究公司Calif公開代號為Squidbleed的資安漏洞CVE-2026-47729，此漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，過去到近期版本Squid的預設配置皆可能導致內部記憶體的內容洩漏，網站伺服器的HTTP存取，以及透過官方套件庫提供Squid套件的多個Linux發行版，都可能受到影響。</p> <p><a href="https://www.ithome.com.tw/news/176858"><strong>刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注</strong></a></p> <p>近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。警方指出，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」，雖然警方未公開具體手法，但結合過往這類事件來分析，此案再次暴露全球通訊架構在身分識別技術上的系統性弱點，導致發話端資訊在VoIP與PSTN介接過程可能遭到非法竄改。此外，警方在攻堅行動時還發現，這些犯嫌設備普遍安裝「快速滅證程式」。</p> <p><strong><a href="https://www.ithome.com.tw/news/176796">PCPJack活動攻擊230臺AWS、GCP、Azure伺服器，企圖架設SMTP中繼網路</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176754">跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在資安維運領域，Gartner點名CISO應優先應對包含深度偽造、AI應用入侵、軟體供應鏈與提示注入在內的4大關鍵威脅，突顯企業面臨從新興AI技術到供應鏈環節的多元風險管理挑戰。此外，Databricks併購AI SOC平臺Panther的消息，亦顯現自動化與AI驅動的安全營運持續成為重要發展趨勢。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176778">Gartner點名CISO須優先應對的4大關鍵威脅</a></strong></p> <p>研究調查機構Gartner於6月初舉行資安與風險管理高峰會，該公司副總裁兼分析師John Watts點名CISO須優先應對的4大關鍵威脅，分別是：深度偽造（Deepfakes）、AI應用程式入侵、軟體供應鏈漏洞，以及提示注入，並針對這些威脅提出具體因應策略，供企業參考與執行，當中有3項直接屬於AI安全範疇。</p> <p><strong><a href="https://www.ithome.com.tw/news/176740">Splunk近期9.8分重大漏洞被CISA列入KEV</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20253】</span></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115612.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115612.jpg" style="width: 400px; float: right;" /></a></p> <p>因掌握Splunk漏洞CVE-2026-20253已遭積極利用的證據，美國網路安全與基礎設施安全局（CISA）將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構6月21日完成修復與緩解。Splunk的安全性公告恰巧也補充說明後續狀況，當中提到產品安全事故應變團隊（PSIRT）察覺少量利用此漏洞的行為，強烈建議用戶更新至已修補此漏洞的版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176736">Databricks宣布併購AI SOC平臺廠商Panther，持續擴大資安應用版圖</a></strong></p> <p>Databricks宣布併購AI驅動安全營運中心（AI SOC）平臺業者Panther，持續擴大其資安版圖。這也是Databricks近期收購的第3家資安相關公司，顯示其正積極強化安全產品與服務能力。未來Panther將與Databricks的Lakewatch及Security Lakehouse策略整合，結合AI代理、自動化SOC流程與大規模安全資料分析能力，協助企業以AI對抗AI驅動的資安威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/176715">勒索軟體DragonForce濫用Microsoft Teams轉送伺服器隱匿C&C流量</a></strong></p> <p>Broadcom旗下Symantec與Carbon Black團隊近日揭露，勒索軟體組織DragonForce攻擊一家大型美國服務業公司時，使用以Go語言開發的自製遠端存取木馬Backdoor.Turn，將命令與控制（C&C）流量隱藏在Microsoft Teams使用的TURN轉送基礎設施之中。對企業防禦人員而言，相關流量看似連往合法Microsoft Teams伺服器，因此更難察覺背後的惡意通訊。</p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>PQC遷移持續成為關鍵策略，國內有金管會公布金融業指引，美國也簽署行政命令要求政府機關於30天內指派遷移負責人。此外，沙烏地PDPL施行與企業主動揭露事故，也反映個資法與事故揭露持續成為國際間都在積極落實的法遵趨勢。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176824">金融業動起來！金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性</a></strong></p> <p><img alt="" src="/sites/default/files/images/2026-06-25_115808.jpg" style="width: 400px; float: right;" /></p> <p>因應量子破密，金管會發布「金融業後量子密碼遷移參考指引」，促進國內金融業加速PQC遷移。金管會強調，此議題應提升至董事會層級的企業營運治理架構；指引除了將加密敏捷性（Crypto-Agility）列為遷移核心能力，更規畫出至2035年的階段性目標：短期（2026～2027年）著重建立治理架構、盤點方法、CBOM及加密敏捷性基礎；中期（2027～2029年）進行試辦驗證、基礎升級並建立共同測試機制；中長期（至2035年）則要高風險與高關鍵系統優先完成遷移，逐步擴大至全金融場景。</p> <p><strong><a href="https://www.ithome.com.tw/news/176792">川普簽署行政命令，加速量子電腦發展與後量子資安部署</a></strong></p> <p>為了在擴大國家量子優勢的同時抵禦未來資安風險，美國總統川普於6月22日簽署兩項行政命令，同步推進量子技術發展與聯邦政府的後量子密碼（PQC）部署。在PQC的具體推動上，最重要是，各機關除須在30天內指定遷移負責人外，同時也賦予明確的時間表：必須在2030年底前完成高價值資產與高衝擊系統的金鑰交換機制部署，並於2031年底前全面升級數位簽章系統。對此，NIST也將展開示範計畫，預計2027年底前即可完成首批PQC遷移驗證。</p> <p><strong><a href="https://www.ithome.com.tw/news/176802">沙國零售商BinDawood揭露資料外洩，該國政府年初已針對48起違反個資法PDPL案件開罰</a></strong></p> <p>沙烏地阿拉伯前三大連鎖零售集團之一的BinDawood Holding，5月底於該國證交所揭露旗下電商App因系統漏洞導致客戶資料外洩，成為沙國個人資料保護法（PDPL）實施後，主動揭露資安事故的大型企業之一。值得關注的是，該國SDAIA於2026年1月曾公告，已針對48起違反PDPL個資法的案件開罰，突顯國際間對於企業合規的要求正持續加大，尤其是在個資與上市公司資安事故揭露方面。</p> <p><strong><a href="https://www.ithome.com.tw/news/176831">巴西民防警報系統疑遭入侵，里約熱內盧等地民眾收到假警報</a></strong></p> <p>在6月19日晚間至20日凌晨有人濫用巴西民防警報系統Defesa Civil Alerta的細胞廣播機制，透過公共警報發送介面（IDAP）向多個地區民眾的手機發送假冒的緊急警報。巴西整合與區域發展部表示Defesa Civil Alerta平臺已暫停運作，巴西國家保護與民防祕書處（SEDEC）也已封鎖IDAP所有外部存取，停用涉及事件的使用者帳號，並保存系統日誌與登入紀錄，以利後續數位鑑識分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/176714">思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞</a></strong></p> <p>因應開源安全問題，產業正透過聯防機制以強化韌性，軟體供應鏈安全業者Chainguard宣布成立產業聯盟Athena，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施與修補程式或版本，降低攻擊風險。Athena目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科、Cloudflare、Docker、摩根大通、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176800">加拿大情報機構首度獲准遠端清除殭屍網路</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176713">歐盟對烏克蘭提供緊急網路安全支援</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在應用程式安全領域，WordPress外掛程式的漏洞與供應鏈風險成主要焦點，不論是Gravity SMTP漏洞正遭駭客大規模利用，抑或是ShapedPlugin遭遇供應鏈攻擊造成的影響，持續突顯外掛程式已成攻擊者滲透網站的關鍵管道。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176775">駭客積極利用WordPress外掛Gravity SMTP漏洞，影響10萬安裝用戶，Wordfence已攔截逾1,700萬次攻擊嘗試</a><span style="color: rgb(255, 0, 0);">【CVE-2026-4020】</span></strong></p> <p>資安業者Wordfence警告，駭客已開始大規模利用WordPress郵件外掛Gravity SMTP的漏洞CVE-2026-4020，試圖竊取郵件服務認證資料、API金鑰與OAuth權杖等敏感資訊。Wordfence表示，自6月初以來已攔截超過1,700萬次攻擊嘗試，單日最高達400萬次。2.1.4版以前的Gravity SMTP都會受此漏洞影響，用戶應儘速升級至已修補的2.1.5版，以降低遭攻擊風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176859">ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，40萬下載用戶須提高警覺</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2026-10735】</span></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115951.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115951.jpg" style="width: 400px; float: right;" /></a></p> <p>資安業者Wordfence揭露，WordPress外掛程式開發商ShapedPlugin遭遇供應鏈攻擊，攻擊者入侵其基礎設施後，將惡意程式植入多款付費版外掛程式，並透過原廠下載與更新管道散布。受感染外掛程式可下載後門程式、竊取網站憑證與雙重認證金鑰，並建立長期存取通道。ShapedPlugin已陸續發布修補版本，建議用戶儘速更新。目前這起供應鏈攻擊事件已被指派CVE-2026-10735的漏洞編號。</p> <p><strong><a href="https://www.ithome.com.tw/news/176803">沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警</a></strong></p> <p>沙國租車龍頭Budget Saudi在沙烏地證券交易所揭露資安事故，說明行動應用程式遭未經授權存取，值得注意的是，中東資安業者點出這起事故帶來的啟示是：行動App安全的防護並未跟上內網防護，並進一步解析這類事故的原因，特別是後端API在設計時並未考慮到編號列舉（Enumeration），以及企業建置SIEM卻缺乏API相關日誌監控等問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/176795">Oracle發布2026年6月關鍵安全修補更新，共修補243項漏洞，含多項CVSS滿分重大漏洞</a></strong></p> <p>Oracle發布2026年6月Critical Security Patch Update（CSPU），共推出245項更新程式，修補243項漏洞，其中122項為重大漏洞，影響Fusion Middleware、E-Business Suite、JD Edwards等11個產品家族。Tenable指出，約40%的漏洞可在無須身分驗證的情況下透過網路遠端利用。此外，Oracle也提醒用戶儘速修補已遭實際利用的PeopleSoft PeopleTools漏洞CVE-2026-35273，以降低風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176794">FFmpeg修補遠端程式碼執行漏洞PixelSmash</a></strong></p> <p>資安業者JFrog揭露FFmpeg存在稱為PixelSmash的漏洞CVE-2026-8461，風險值為8.8，能引發阻斷服務、有時甚至可讓攻擊者遠端執行程式碼，最新版FFmpeg 8.1.2已包含修補程式。PixelSmash之所以嚴重，是出於軟體供應鏈效應。FFmpeg是最受歡迎的媒體處理框架之一，數百個影音播放專案依賴其元件來解碼影音資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/176834">SSH函式庫libssh2揭露重大漏洞，可能導致攻擊者透過特製SSH封包執行任意程式碼</a></strong></p> <p>開源SSH函式庫libssh2揭露重大漏洞CVE-2026-55200，CVSS v4嚴重性評分達9.2分，由於處理SSH封包長度時存在邊界檢查缺陷，攻擊者可藉由特製封包觸發記憶體損毀，進而遠端執行任意程式碼。漏洞影響 libssh2 1.11.1 及更早版本，相關檔案傳輸、備份與 SSH 應用程式可能受到波及。</p> <p><strong><a href="https://www.ithome.com.tw/news/176743">Node.js揭露與修補12個漏洞，其中涵蓋兩個高風險漏洞</a></strong></p> <p><strong><a href="http://https://www.ithome.com.tw/news/176867">Linux網頁式管理工具Webmin修補儲存型XSS漏洞CVE-2026-22678</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176876">Google發布Chrome 149穩定版更新，修補18項漏洞，4項屬於重大等級</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176716">Mozilla發布Firefox 152版更新，修補40項資安漏洞</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>非人類身分（NHI）與AI代理治理持續成為資安市場焦點，繼先前多起併購案後，近期再傳出三起收購消息，顯見市場熱度持續升溫。特別的是，從思科與1Password的併購案來看，在非人類身分（NHI）管理趨勢下，現在似乎更延伸到登入之後的身分安全治理。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176766">思科買下身分安全新創WideField Security</a></strong></p> <p>思科在併購主打NHI安全的新創Astrix Security之後，又宣布將併購身分安全新創WideField Security，該公司主打身分生命週期安全，並特別著重登入後工作階段（Session）、Token、權限使用與異常行為偵測。思科表示，這項收購將強化旗下Splunk資安營運中心對人類、機器與AI代理身分的工作階段與權限風險分析能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/176826">1Password併購身分安全新創Apono，強化AI代理與非人類身分即時存取治理</a></strong></p> <p>1Password宣布併購以色列資安新創公司Apono，看重其即時存取治理技術，以解決AI時代身分管理碎片化的難題，預計將其技術整合進今年3月推出的統一存取平臺（Unified Access Platform），以加速實現將各類身分管理整合至單一平臺的願景。</p> <p><strong><a href="https://www.ithome.com.tw/news/176735">Sailpoint有意併購Entro，整合企業AI三大身分安全管理技術</a></strong></p> <p>以身分安全與治理著稱的資安廠商SailPoint，宣布併購以色列資安新創公司Entro Security，目的是鞏固SailPoint在人類、機器和AI代理等類型身分的治理，預計2027會計年度第三季完成。SailPoint預告Agentic Fabric將整合Entro三大技術：身分與憑證探查能力、脈絡與人員所有權的歸屬、即時偵測與主動防護。</p> <p><a href="https://www.ithome.com.tw/news/176865"><strong>攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量</strong></a></p> <p>Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為命令與控制（C2）中繼站，藉此讓惡意流量混入一般雲端服務通訊。雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。</p> <p><strong><a href="https://www.ithome.com.tw/news/176852">刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_shi_ju_po_huo_twqrma_xin_xing_zha_pian_shou_fa_.jpg?itok=FCflZgyF"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_shi_ju_po_huo_twqrma_xin_xing_zha_pian_shou_fa_.jpg?itok=FCflZgyF" style="width: 400px; float: right;" /></a></p> <p>有網路犯罪集團針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式社交工程詐騙手法。刑事警察局指出，今年3月起利用電子支付詐欺洗錢的案件量暴增，4月即向大眾示警，如今公布掃蕩有成並揭露其假網拍手段。嫌犯會要求受害者開啟LINE「派對功能」（螢幕共享）進行線上指導，誘騙被害人打開電子支付App產生TWQR付款碼，進而暗中擷取畫面，傳給待命的「掃碼車手」前往超商列印遊戲點數單並付款。</p> <p><strong><a href="https://www.ithome.com.tw/news/176758">思科修補ISE身分識別與存取控制平臺重大漏洞CVE-2026-20181，未更新可能導致攻擊者取得系統Root權限</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近期不僅MITRE透露兩項強化太空系統網路安全防禦體系的計畫，上月歐盟ENISA報告也提及太空領域處於高度關鍵、網路安全成熟度中等偏低的現況。這些消息均突顯太空系統網路安全的重要性與迫切性。成熟度落差亦預示著巨大的太空網路安全商機。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176776">推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫</a></strong></p> <p>近日美國非營利研究機構MITRE在一篇人物專文中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，當中透露由他領導的兩項計畫，一是聚焦端到端威脅列舉的鋼鐵城計畫（Project STEEL TOWN），一是涉及情資驅動架構設計的Project 60，目的是強化太空系統的網路安全防禦體系。</p> <p><strong><a href="https://www.ithome.com.tw/news/176759">殭屍網路AryStinger感染約4千臺D-Link路由器</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/massprod_scanip-156.jpg?itok=YL2gV_5t"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/massprod_scanip-156.jpg?itok=YL2gV_5t" style="width: 400px; float: right;" /></a></p> <p>中國資安公司奇安信揭露殭屍網路AryStinger，遭綁架的裝置多為搭配RTL819X系列晶片的網路設備，由於許多2012年至2015年推出的設備採用RTL819X晶片，因此引起了奇安信的注意。奇安信一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。從地理分布來看，感染集中於韓國（48.45%），其次為中國（31.82%）、瑞典（6.40%）、馬來西亞（3.50%），以及新加坡（2.50%）。</p> <p><strong><a href="https://www.ithome.com.tw/news/176749">蘋果修補可讓駭客竊聽Beats藍牙耳機的資安漏洞</a></strong></p> <p>蘋果修補可讓駭客竊聽Beats無線耳機音訊的漏洞CVE-2025-20701，位於藍牙傳輸範圍的攻擊者，得以對尚未配對、正處於尋求配對狀態的Beats耳機發動攻擊並透過麥克風竊聽。事實上，CVE-2025-20701是達發科技（Airoha）藍牙音訊系統單晶片（SoC）的3個安全漏洞之一，攻擊者可未經用戶同意配對藍牙音訊裝置，導致遠端提升權限。</p> <p><strong><a href="https://www.ithome.com.tw/news/176829">LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點</a></strong></p> <p>資安業者Spur分析6,038個三星和LG智慧電視的App套件，發現有2,058款內含將用戶住家IP位址提供作為代理伺服器（proxy）的SDK。在用戶住家IP位址被出售或出借後，一旦代理伺服器供應商同意提供其他組織，或其過濾機制破防，電視可能成為外部流量存取家中其他連網裝置，包括路由器管理介面、NAS系統、印表機、攝影機、或其他App。</p> <p> </p> </div></div></div>
6/26 12:09作者羅正漢https://www.ithome.com.tw/news/176892
F5併購SurePath AI，延續與擴張公司長期發展的網路層資安防護策略，強化AI治理能見度與安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">從傳統應用遞送（ADC）轉型、如今專注發展多雲應用安全與多雲網路（MCN）的 F5，本週發表AI資安平臺F5 AI Security Platform（AISP），為企業提供持續保護使用AI的能力，涵蓋探查（discovery）、安全性測試（security testing）、治理（governance）、AI執行階段防護（runtime protection），以及可觀測性（observability），<a href="https://www.f5.com/company/news/press-releases/f5-ai-security-platform-control-enterprise-risk"><strong>也宣布併購</strong></a>2023年成立的資安新創公司SurePath AI的消息，並強調這家廠商的技術是組成F5 AISP的重要元件，能以此防護企業AI的部署。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/F5 AISP arch.png"><img alt="" src="/sites/default/files/images/F5%20AISP%20arch.png" style="width: 400px;" /></a></p> <p style="margin-left:.05pt;">SurePath的特色是針對員工生成式AI的使用，提供網路層級（network-level）的治理平臺，可<a href="https://aws.amazon.com/blogs/apn/securing-generative-ai-how-enterprises-can-govern-workforce-use-of-generative-ai-with-surepath-ai/"><strong>基於網路（network-based）</strong></a>執行AI探查、意圖分類與影子AI偵測，當中將會針對ChatGPT、Microsoft Copilot這類公眾AI服務的互動，進行攔截與監控，藉此防護企業對於公眾與內部AI的使用，而且能橫跨所有生成式AI工具套用管理政策，確保AI能以負責任的方式使用，而不會影響生產力。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/2025-11-SurePathAI-GenAIGovernance-4-1.png"><img alt="" src="/sites/default/files/images/2025-11-SurePathAI-GenAIGovernance-4-1.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SurePath-Policy.jpg"><img alt="" src="/sites/default/files/images/SurePath-Policy.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/SurePath-Policy2.jpg"><img alt="" src="/sites/default/files/images/SurePath-Policy2.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">F5強調，由於SurePath的加入，F5 AISP能夠在不需直接整合應用程式的狀態下，透過網路即可探查現行企業環境採用的AI服務，識別包含影子AI在內的企業AI使用情況。</p> <p style="margin-left:.05pt;">該如何達到這樣的成效？F5表示，透過網路重新導向與頻外分析（out-of-band analysis）實現廣泛涵蓋整個企業環境的部署方式，SurePath能為資安團隊提供統一的狀態透視層（visibility layer），當中可偵測未經授權的AI活動，針對每個工作流程背後的意圖進行分類，並持續追蹤AI代理的工具呼叫及MCP伺服器的連線，而且，這個AI狀態透視層會直接整合到F5 AI Security Platform，並通知F5 AI Red Team進行風險的測試，後續交由F5 AI Guardrails進行風險緩解。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SurePath-User Act.jpg"><img alt="" src="/sites/default/files/images/SurePath-User%20Act.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/SurePath-MCP1.jpg"><img alt="" src="/sites/default/files/images/SurePath-MCP1.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">F5產品長Kunal Anand表示，併購SurePath之後，協助F5得以持續偵測並分類整個員工群體的 AI活動，包括已知與未知的AI部署情形，在運作架構上，SurePath會以線上模式（inline）直接部署於企業網路流量中，並整合企業現有的 SASE、DLP、SIEM及身分識別系統，因此無需在端點設備安裝代理程式，即可監控列管裝置上的 AI 使用狀況。</p> <p style="margin-left:.05pt;">關於SurePath也能根據意圖對員工使用AI的行為進行分類，Kunal Anand也提出說明。他表示，了解「誰在使用什麼」固然重要，但光是這麼做仍不夠，資安主管需要同時掌握使用行為背後的意圖，因為即使採用的AI模型與使用者身分完全相同，但意圖不同所導致的結果可能有很大差異，例如，一名業務人員調取敏感紀錄以草擬客戶電子郵件，與一名助理撰寫內部備忘錄，這兩種意圖帶來的風險截然不同。</p> <p style="margin-left:.05pt;">除此之外，SurePath還能稽核業務人員的活動，監督AI工具濫用及權限提升情形，並偵測MCP工具呼叫，藉此引導業務人員前往企業核准的目標，而非直接封鎖其操作。Kunal Anand表示，MCP工具呼叫正是AI代理停止推理並開始向外展開行動的關鍵位置，因此，自然成為代理型AI的出口（egress）控制點，這意味著，若能掌握這個節點，即可真正決定AI代理被允許執行的動作，而非只是控管它們所能表達的內容。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SurePath-MCP.jpg"><img alt="" src="/sites/default/files/images/SurePath-MCP.jpg" style="width: 600px;" /><img alt="" src="/sites/default/files/images/SurePath-MCP.jpg" style="width: 600px;" /></a><a href="/sites/default/files/images/SurePath-MCP2.jpg"><img alt="" src="/sites/default/files/images/SurePath-MCP2.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">基於上述論點，Kunal Anand也談到此次併購SurePath與F5本身發展策略的最主要關聯。他強調，過去三十年來，F5在網路環境的使用上，正是佔據著這樣的關鍵位置，隨著代理式AI時代來臨，並非創造新的需求，而是將最重要的控制點轉移到我們早已身處的位置。</p> <p style="margin-left:.05pt;">而對於SurePath協同合作的F5旗下兩種AI資安解決方案：F5 AI Red Team與F5 AI Guardrails，Kunal Anand透露它們均來自<strong><a href="https://www.f5.com/company/blog/what-are-ai-guardrails">F5先前併購的CalypsoAI</a></strong>，並表示SurePath目前可針對這兩種解決方案，提供執行封閉式循環處理相關工作所需的資訊，像是目前正在企業內部使用的AI模型、AI代理的工具呼叫，以及使用模式，進而針對真實而非通用的攻擊面，執行安全性測試與強制套用政策。</p> <p>Kunal Anand警告，若非如此，單靠零散破碎的洞察分析、長達數週的修復週期，以及靜態政策，都無法跟上攻擊者的步調，因為他們在數小時內便能調整策略。</p> </div></div></div>
6/26 12:10作者李宗翰https://www.ithome.com.tw/news/176893
韓國全民創業計畫爆資安事故，5,000名晉級首輪的參賽者個資與創意外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由韓國政府主導的大規模創業海選計畫「全民創業」（<a href="https://www.modoo.or.kr/">모두의 창업</a>），共吸引6.3萬人參與，但在6月17日傳出嚴重的個資外洩事件，根據韓國創業媒體<strong><a href="https://www.unicornfactory.co.kr/article/2026061713382194585">《Unicorn Factory》報導</a></strong>，第一階段入選參賽者5,000人的個資與其創意構想外洩。</p> <p>這次資料外洩事故之所以曝光，是因為多名合格參賽者反映，他們突然收到來自特定顧問公司的行銷郵件，內容宣稱能協助獲取政府補助金，且郵件中精準掌握了參賽者的暱稱、合格狀態等非公開資訊，進而引發參賽者懷疑個資遭到非法販售或外洩。外界一度懷疑是內部合作廠商所為。</p> <p>後續狀況仍待釐清。根據<strong><a href="https://www.yna.co.kr/view/AKR20260622101151030">韓聯社報導</a></strong>，韓國中小企業暨新創事業部已於6月22日說明，該單位正聯合韓國網路振興院（KISA）與國家警察廳，針對已確認存取敏感資訊的9個IP位址展開深入調查。不過<strong><a href="https://www.donga.com/news/It/article/all/20260625/134180644/1">東亞日報</a></strong>則指出，中小企業暨新創事業部表示這次事件是一家AI解決方案供應商遭駭客攻擊，目前查明駭客是在系統後臺規避權限審查下，並透過非正常的API呼叫，進而竊取已被加密的資料。最終調查結果仍有待進一步釐清。</p> </div></div></div>
6/26 12:13作者羅正漢https://www.ithome.com.tw/news/176891
產品體驗平臺公司Pendo、雲端通訊服務廠商8×8受Klue供應鏈攻擊影響，Salesforce資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週爆發的<strong><a href="https://www.ithome.com.tw/news/176820">Klue供應鏈攻擊事故</a></strong>，已有超過<strong><a href="https://www.ithome.com.tw/news/176827">10家公司</a></strong>證實受到影響，導致他們存放在Salesforce平臺的資料出現未經授權存取的現象，其中大部分是資安公司。如今有SaaS服務公司也受害。</p> <p>根據<strong><a href="https://www.securityweek.com/beyondtrust-lastpass-impacted-by-klue-salesforce-incident/">資安新聞網站SecurityWeek報導</a></strong>，本週產品體驗平臺公司Pendo與雲端通訊服務廠商8×8皆傳出受害，Pendo於6月22日<strong><a href="https://www.pendo.io/pendo-blog/security-update-klue-breach-and-impact-on-pendo/">發布部落格文章</a></strong>表示，他們於6月14日接獲通報，未經授權的攻擊者入侵Pendo使用的Klue，並疑似取得存放於Salesforce平臺的資料。根據他們的調查結果顯示，遭竊內容並非敏感資料，Pendo的產品平臺未受影響，尚無客戶產品資料、身分驗證憑證或技術資料遭未經授權存取或外洩的跡象。該公司已採取行因應，包括停用與撤銷Klue對Pendo所有系統的存取權限，以及與Salesforce合作取得更多事件記錄以進一步調查，並稽查所有與Salesforce整合的第三方應用程式等。</p> <p>另一家公司8×8則是向美國證交所<strong><a href="https://www.sec.gov/Archives/edgar/data/1023731/000102373126000084/eght-20260617.htm">提交8-K表單</a></strong>通報此事，他們於6月13日得知未經授權的攻擊者與Salesforce整合的第三方應用程式Klue，從而得到存取權限，並從8×8的Salesforce系統竊得部分資料，相關的活動發生在6月11日至12日。駭客竊取公司現有、過去，以及潛在客戶的敏感資訊，包括合約與機會資訊、銷售團體的筆記，以及客戶聯絡資訊等。</p> </div></div></div>
6/26 12:18作者周峻佑https://www.ithome.com.tw/news/176896
Grafana Labs證實受TanStack NPM供應鏈攻擊波及，GitHub儲存庫遭未授權存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>可觀測性平臺業者Grafana Labs於5月16日確認，該公司GitHub儲存庫遭未授權存取，攻擊者下載程式碼並提出勒索要求。後續調查指出，事件源自TanStack NPM供應鏈攻擊中的Mini Shai-Hulud活動。Grafana Labs於5月27日完成內部調查，<a href="https://grafana.com/blog/post-incident-review-for-tanstack-npm-supply-chain-ransom-incident/?pg=blog&plcmt=featured" target="_blank">6月23日進一步發布事後檢討報告</a>，說明事件限於GitHub環境，客戶正式環境與Grafana Cloud平臺並未受影響。</p> <p>Grafana Labs指出，攻擊者在該公司的自架GitHub runner執行惡意程式碼，造成部分憑證外洩。該公司雖然立即輪替相關憑證，但後續發現仍漏掉一組權杖，使攻擊者得以在5月14日開始複製GitHub儲存庫。遭下載內容包括公開與私有原始碼，以及部分團隊存放內部營運資訊的GitHub儲存庫，可能包含商務往來聯絡人的姓名與電子郵件地址，以及過去行銷活動使用的電子郵件地址。Grafana Labs強調，這些資料並非來自客戶正式系統，也不是透過Grafana Cloud平臺處理或擷取的資料。</p> <p>事件發生後，Grafana Labs決定停用所有GitHub應用程式、啟動全域程式碼凍結，並同時針對Vault、GitHub、Okta、Kubernetes、AWS、GCP與主機日誌進行稽核。該公司也完成1,500件聚焦資安的拉取請求審查，以及稽核280個GitHub應用程式，並掃描1,200個儲存庫，確認程式碼雖遭下載但未被竄改。</p> <p>針對這起資安事故，Grafana Labs也委託資安事件應變業者Mandiant進行獨立稽核，Mandiant於6月18日完成調查，確認Grafana Labs的GitHub公開組織帳號（public organizations）與交付給終端使用者的正式版儲存庫，皆未發現程式碼遭竄改或儲存庫投毒跡象。</p> <p>Grafana Labs表示，後續已針對GitHub與CI/CD環境導入權杖代理（token broker）、短效權杖、細緻化存取控制、額外警示與靜態分析，並將GitHub組織分區管理，以降低類似事件再次發生的風險。</p> </div></div></div>
6/26 10:28作者王珮瑤https://www.ithome.com.tw/news/176888
PTC產品生命週期管理系統重大漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月25日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/25/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們已掌握CVE-2026-12569、CVE-2026-20230兩個漏洞遭到利用的情形</a></strong>，並要求聯邦機構於28日前完成修補。其中存在於PTC產品生命週期管理（Product Lifecycle Management，PLM）系統Windchill、FlexPLM的重大漏洞CVE-2026-12569，相當值得留意，因為PTC已在一週前警告疑似出現可疑活動。</p> <p>CVE-2026-12569為遠端程式碼執行（RCE）漏洞，<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-12569" style="font-weight: bold;">CVSS v4.0風險評為9.3分</a>。針對該漏洞的嚴重性，<strong><a href="https://www.ptc.com/en/about/trust-center/advisory-center/active-advisories/windchill-flexplm-rce-vulnerability">PTC特別設置專屬公告網頁提出警告</a></strong>，並公布發布修補程式的進度。該公司於美東時間6月18日下午2時首度提出警告，要客戶根據他們提供的入侵指標（IoC）檢查環境，因為攻擊者可能會在Windchill登入資料夾裡，部署了可持續活動的JSP Webshell，其用途是讓攻擊者遠端執行任意程式碼，或是進行資料外洩。後續PTC於6月25日下午1時再度更新公告內容，表示他們持續收到攻擊活動加劇的通報，要用戶立即套用所有的修補程式與緩解措施因應。</p> </div></div></div>
6/26 10:41作者周峻佑https://www.ithome.com.tw/news/176889
Gartner預期2028年企業AI程式開發成本將超越開發者平均薪資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gartner.com/en/newsroom/press-releases/2026-06-24-gartner-predicts-ai-coding-costs-will-surpass-average-developer-salary-by-2028-as-token-consumption-surges" target="_blank">市場研究與顧問公司Gartner於6月24日發布預測報告指出</a>，隨著企業擴大採用大型語言模型（LLM）驅動的AI程式開發代理（AI coding agents），相關工具的token消耗量也會持續增加。若供應商的收費模式持續從席次授權制轉為依用量計算，到了2028年，企業的AI程式開發成本將超過開發者平均薪資。</p> <p><a href="https://www.computerweekly.com/news/366645054/Gartner-AI-coding-agents-will-cost-more-than-real-developers">根據Computer Weekly引述Gartner Peer Insights研究的資料</a>，23%的科技主管表示，組織內部使用Claude Code、Cursor與OpenAI Codex等AI程式開發代理的token費用，每名開發者每月約為200至500美元。</p> <p>Gartner建議，企業應依使用情境界定AI程式開發代理的適用範圍，區分為：由開發者主導、由開發者搭配代理，以及完全由代理主導的任務，並依任務複雜度選擇模型，將高階模型保留給複雜且高價值的開發工作。同時，企業也應落實脈絡工程（context engineering），並建立token使用門檻與自動監控機制。</p> </div></div></div>
6/26 10:42作者王珮瑤https://www.ithome.com.tw/news/176890
思科整合通訊管理平臺Unified CM重大SSRF漏洞出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月初思科修補重大等級的<strong><a href="https://www.ithome.com.tw/news/176411">伺服器請求偽造（SSRF）漏洞CVE-2026-20230</a></strong>，此漏洞存在於整合通訊管理平臺Unified Communications Manager（Unified CM）與Unified Communications Manager Session Management Edition（Unified CM SME），攻擊者可透過特製的HTTP請求利用，將檔案寫入底層作業系統，之後將權限提升為root。兩週後首度傳出有人用於實際攻擊。</p> <p>6月22日威脅情報公司Defused Cyber<strong><a href="https://x.com/DefusedCyber/status/2069074520057557244">於社群網站X提出警告</a></strong>，他們觀察到有人利用這項資安漏洞，攻擊者利用未經驗證的概念驗證程式碼（PoC）試圖觸發弱點，該公司在誘捕系統當中，看到經過完整格式化（genuinely-formatted）的file://檔案寫入酬載。值得留意的是，由於當時美國網路安全與基礎設施安全局（CISA）尚未將其列入已遭利用的漏洞名單（KEV），先前也尚未出現此漏洞遭到利用的情形，Defused Cyber呼籲用戶要儘速採取行動因應。</p> <p> </p> </div></div></div>
6/26 09:42作者周峻佑https://www.ithome.com.tw/news/176885
CISA將思科整合通訊管理平臺Unified CM重大漏洞列KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月22日威脅情報公司Defused Cyber警告，<strong><a href="https://www.ithome.com.tw/news/176885">他們偵測到有人首度利用伺服器請求偽造（SSRF）漏洞CVE-2026-20230的跡象</a></strong>，此弱點存在於思科整合通訊管理平臺Unified Communications Manager（Unified CM）與Unified Communications Manager Session Management Edition（Unified CM SME），CVSS風險評為8.6分，不過由於該漏洞能讓攻擊者得到root權限，思科認定其嚴重程度為重大等級。如今美國政府也證實，該漏洞已被用於實際攻擊活動。</p> <p>美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/25/cisa-adds-two-known-exploited-vulnerabilities-catalog">於6月25日發布資安公告</a></strong>，指出他們已掌握兩個資安漏洞遭到積極利用的證據，將其加入已遭利用的漏洞名單（KEV），其中一個就是CVE-2026-20230。CISA要求聯邦機構，<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20230">必須在6月28日之前完成修補</a></strong>。</p> </div></div></div>
6/26 09:56作者周峻佑https://www.ithome.com.tw/news/176886
前端建置工具Vite 8.1導入打包式開發模式，改善大型前端專案啟動效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://vite.dev/blog/announcing-vite8-1#vite-8-1-is-out">前端建置工具Vite發布8.1版</a></strong>，更新導入實驗性打包式開發模式（Bundled Dev Mode），以改善大型前端專案在開發階段的啟動與完整重新載入效能。Vite 8在今年3月導入以Rolldown為基礎的單一統一打包器後，8.1版進一步把重點放在大型應用常見的開發效能瓶頸，讓模組數量龐大的專案在開發伺服器中，也能透過打包方式減少瀏覽器端載入壓力。</p> <p>Vite過去的開發模式，是讓瀏覽器直接載入各個程式模組，省去傳統打包流程的等待時間。不過，當應用規模擴大，頁面背後可能牽涉大量模組，瀏覽器就需要發出大量請求並逐一處理檔案，在大型企業應用或複雜前端產品中，可能拉長首次啟動與重新整理頁面的時間。</p> <p>Vite團隊表示，Vite 8.1新增的打包式開發模式，在一個載入10,000個React元件的測試應用中，相較未打包的開發伺服器，啟動約快15倍，完整頁面重新載入約快10倍，且仍可維持熱模組替換（HMR）的即時性。</p> <p>打包式開發模式目前仍是實驗性質，並非所有專案都適合立即採用，官方提到，現階段支援重點放在瀏覽器端、基本外掛與主要功能，若專案使用第三方外掛，或依賴較少見的功能，可能還無法完整相容。</p> <p>除了開發效能，Vite 8.1也加入實驗性區塊匯入對照表，用來減少建置輸出中，因相依區塊雜湊變動而連帶使其他區塊重新產生雜湊的情況，改善建置輸出檔案的快取效率。新版也支援Wasm與ESM整合，讓開發者可更直接使用Wasm檔案提供的函式。</p> <p>CSS處理也是這次更新的重點之一，Vite團隊補強Lightning CSS相關能力，包括允許在CSS檔案中匯入外部CSS檔案，以及讓外掛登錄檔案相依關係，官方表示，正在考慮於下一個主要版本將預設CSS處理器改為Lightning CSS。</p> </div></div></div>
6/25 19:43作者李建興https://www.ithome.com.tw/news/176881
IBM發表0.7奈米晶片，靠3D堆疊架構讓電晶體密度翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p class="isSelectedEnd">半導體產業逐漸逼近製程微縮的物理極限，但IBM今日揭露一項新技術方向，<a href="https://newsroom.ibm.com/2026-06-25-ibm-debuts-worlds-first-sub-1-nanometer-chip-technology">宣布開發出全球首款0.7奈米晶片技術</a>，還提出名為Nanostack的3D奈米堆疊電晶體架構，要透過立體堆疊與異質材料整合，繼續提高晶片效能與能效。IBM預估，這項技術最快可在5年內導入1奈米以下節點製程。</p> <h2><strong>IBM展示0.7奈米技術，電晶體密度接近2奈米兩倍</strong></h2> <p class="isSelectedEnd">IBM表示，這款研究中的0.7奈米晶片，可在約指甲大小的面積內整合近1,000億顆電晶體，密度接近IBM於2021年發表的2奈米研究晶片兩倍。</p> <p class="isSelectedEnd"><img alt="" src="https://newsroom.ibm.com/image/IBM-Research_Newsroom_Thumbnail_2%20(1).jpg" /></p> <p class="isSelectedEnd">根據IBM公布的研究數據，在模擬條件下，這項技術可望在相同功耗下提供約50%的性能提升；若維持相同性能，則可比2奈米技術降低約70%的能耗。</p> <p class="isSelectedEnd">不過，IBM強調，這次發表的重點，並不只是將製程節點推進至0.7奈米，而是一套全新的電晶體架構。</p> <p class="isSelectedEnd">因為，近年來，先進製程已從FinFET進步到GAA奈米片（Nanosheet）電晶體架構，台積電、三星及英特爾都將其視為2奈米世代的重要技術基礎。然而，隨著電晶體尺寸越來越接近原子尺度，持續微縮所帶來的效益正在下降，業界也開始尋找新的架構設計方式。</p> <h2><strong>Nanostack架構：把電晶體從平面排列變成立體堆疊</strong></h2> <p class="isSelectedEnd">IBM這次提出的Nanostack架構，正是奈米片技術的進一步延伸。</p> <p class="isSelectedEnd">如果把傳統晶片比喻為平面城市，大多數電晶體都排列在同一層；Nanostack則像是把城市改建成摩天大樓，透過多層電晶體垂直堆疊，在相同面積內容納更多元件。IBM研究團隊用3D序列整合技術，將不同層的電晶體以交錯方式堆疊。這種設計除了提高電晶體密度，也能縮短訊號傳輸距離，進而降低功耗與延遲。</p> <p class="isSelectedEnd">另一項特色是，每個堆疊層可採用不同材料組合。IBM表示，未來設計人員可根據不同用途，分別優化各層電晶體的性能與能源效率，不必讓所有元件都共用相同設計條件。</p> <p class="isSelectedEnd">為驗證這項架構的可行性，IBM已完成超薄介電層鍵結、雙通道工程以及CMOS反相器等實驗驗證。研究結果顯示，Nanostack不只是概念設計，而已具備實際運作能力的電晶體架構。</p> <h2><strong>SRAM面積可縮小40%，瞄準AI運算需求</strong></h2> <p class="isSelectedEnd">除了邏輯電路，IBM也在今年VLSI Symposium大會上發表另一項與Nanostack相關的研究成果。</p> <p class="isSelectedEnd">研究團隊利用交錯通道設計，將SRAM記憶體單元面積縮小約40%。由於SRAM是處理器快取記憶體的重要組成，面積縮小意味著可在相同晶片空間內放入更多快取容量。</p> <p class="isSelectedEnd">這項能力對AI工作負載尤其重要。</p> <p class="isSelectedEnd">隨著生成式AI、大型語言模型（LLM）與高效能運算系統快速發展，晶片不只需要更多運算核心，也需要更高頻寬與更大的快取記憶體。IBM認為，Nanostack技術有機會同時提高運算密度與記憶體效率，滿足未來AI資料中心和雲端基礎設施需求。</p> <h2><strong>高NA EUV將成1奈米以下製程關鍵技術</strong></h2> <p class="isSelectedEnd">不過，要將Nanostack推向量產，仍需要下一代微影技術配合。</p> <p class="isSelectedEnd">IBM指出，其中最關鍵的是高數值孔徑極紫外光（High-NA EUV）曝光設備。相較於現行的EUV設備，高數值孔徑極紫外光有更高解析度，可在晶圓上刻畫更細微的電路結構，是1奈米以下製程的重要關鍵技術。</p> <p class="isSelectedEnd">IBM目前正與ASML、Lam Research、Tokyo Electron（TEL）及SCREEN Semiconductor Solutions等多家設備廠商合作，來開發相關製程與設備能力。相關研究則由IBM與位於美國紐約州奧爾巴尼的半導體研發中心共同完成，該中心未來也會導入高NA EUV設備，作為下一世代晶片技術研發的重要基地。</p> <p class="isSelectedEnd">此外，IBM最近也揭露Anderon計畫，也就是IBM旗下的獨立公司，專門打造量子晶片的代工廠。</p> </div></div></div>
6/25 18:35作者王若樸https://www.ithome.com.tw/news/176880
Uber Eats揭Agent購物助手技術架構：從搜尋商品關鍵字，轉為AI規畫購物車清單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Uber Eats<a href="https://www.uber.com/us/en/blog/uber-cart-assistant/?uclick_id=84e628d2-af90-42fe-a5c1-3f180338a861">日前揭露Agent購物助手Cart Assistant背後的技術設計</a>，說明他們如何用大型語言模型（LLM）和多階段Agent工作流程，讓使用者用自然語言描述需求，系統就能協助規畫購物清單、挑選商品，甚至給出可直接加入購物車的商品組合。</p> <p class="isSelectedEnd">這項設計，反映電商AI應用的重要轉變：AI不再只是幫使用者搜尋商品或回答問題，而是可以協助完成一項具體購物任務。對Uber Eats來說，生鮮雜貨購物特別適合這種Agent模式，因為使用者往往不是只想買單一商品，而是想完成一個情境，例如準備一餐、補齊家用品，或為某個活動採買食材。</p> <h2><strong>從搜尋優先走向購物車清單優先</strong></h2> <p class="isSelectedEnd">進一步來說，傳統電商購物流程，多半是搜尋導向。使用者輸入關鍵字後，系統列出商品結果，再由使用者自行比較品牌、規格、價格與庫存，最後逐一加入購物車。</p> <p class="isSelectedEnd">但Uber Eats認為，雜貨採買的真實需求，常常不是「我要搜尋某個商品」，而是「我要完成某件事」。例如，使用者可能輸入「幫我準備4人份的Taco食材」。在傳統搜尋模式下，使用者可能要分別搜尋玉米餅皮、牛絞肉、起司、生菜、番茄與莎莎醬等商品。但在Cart Assistant的設計中，系統會先理解這是一個餐食準備任務，再推理出需要哪些商品類別，最後才到商品目錄中尋找對應的品項。</p> <p class="isSelectedEnd">換句話說，Uber Eats想把購物流程，從搜尋優先（Search-first）轉向購物車清單優先（Cart-first）。使用者不必從搜尋結果開始慢慢挑，而是先由AI產生一個接近可用的購物車清單，再讓使用者確認、調整。</p> <h2><strong>採多階段Agent工作流程，而不是一次生成答案</strong></h2> <p class="isSelectedEnd">Cart Assistant並不是把使用者需求丟給LLM，然後一次產生最終購物車。Uber Eats採用的是多指令狀態圖學（Multi-Prompt State Graph），也就是多提示、多狀態的工作流程架構。</p> <p class="isSelectedEnd"><img alt="" src="https://cn-geo1.uber.com/image-proc/resize/udam/format=auto/srcb64=aHR0cHM6Ly90Yi1zdGF0aWMudWJlci5jb20vcHJvZC91ZGFtLWFzc2V0cy9lNGU1NmZlNC0wZDExLTQ0OWQtOTRhNS1jMjJiN2I1ZTcwYWIucG5n" /></p> <p class="isSelectedEnd">用白話來說，這套系統會把購物任務拆成多個步驟，每個步驟處理不同問題，而不是期待模型一次把所有事情做好。</p> <p class="isSelectedEnd">整體流程大致包括：先理解使用者需求，再產生購物計畫，接著搜尋候選商品，檢查商品是否符合需求與限制條件，最後再整理成購物車清單。</p> <p class="isSelectedEnd">這樣做的好處是，每個階段都能檢查與修正。若直接讓模型一次產生結果，可能很難追蹤錯誤；但拆成工作流程後，系統可以知道問題出在哪裡，比如需求理解、商品搜尋、數量規畫，還是限制條件驗證。</p> <h2><strong>購物車規畫是關鍵中介層</strong></h2> <p class="isSelectedEnd">這篇文章中最重要的技術概念之一，是購物車規畫（Cart Plan）。它可以理解為，AI在真正挑商品前，先產生的一份購物計畫。它不是最終購物車，而是介於使用者需求與實際商品間的中介層。</p> <p class="isSelectedEnd"><img alt="" src="https://cn-geo1.uber.com/image-proc/resize/udam/format=auto/srcb64=aHR0cHM6Ly90Yi1zdGF0aWMudWJlci5jb20vcHJvZC91ZGFtLWFzc2V0cy9hOTA4YjIxOC03YzQxLTRmZjktYmUyNi0wYWEzMWVkMDA5NDMucG5n" /></p> <p class="isSelectedEnd">例如，使用者說「準備Taco晚餐」，系統不會立刻搜尋商品，而是先建立一份計畫，判斷這個任務可能需要哪些食材類別，以及每一類食材在購物車中扮演什麼角色。</p> <p class="isSelectedEnd">這層設計很重要，因為LLM雖然擅長理解自然語言，但若直接把抽象需求對應到商品目錄，很容易出現漏項、誤選或商品組合不完整的問題。購物車規畫可讓系統先拆解需求，分為比較明確的購物結構，再進入商品搜尋階段。</p> <p class="isSelectedEnd">也就是說，這套系統不是從「使用者輸入」直接跳到「商品結果」，而是多了一層「購物規畫」。</p> <h2><strong>商品選擇不只看語意相關，還要檢查限制條件</strong></h2> <p class="isSelectedEnd">在商品搜尋階段，Cart Assistant會根據Cart Plan尋找相關商品。不過，Uber Eats也強調，商品是否語意相關，並不代表就一定適合加入購物車。</p> <p class="isSelectedEnd">例如，某個商品可能和使用者需求很接近，但它可能不符合飲食限制、過敏原條件、預算，或當下商店庫存不足。這些都是Agent必須處理的現實問題。</p> <p class="isSelectedEnd">因此，系統除了判斷商品與需求的語意相關性，也會進一步檢查多種限制條件，包括使用者偏好、商品可得性、庫存狀態與其他購物條件。</p> <p class="isSelectedEnd">這也是購物Agent和一般聊天機器人的差異。聊天機器人只要回答得合理即可，但購物Agent一旦把商品加入購物車，就會影響實際交易，因此必須更嚴格地確認商品是否真的適合。</p> <h2><strong>數量規畫是雜貨Agent的一大難題</strong></h2> <p class="isSelectedEnd">相較於推薦商品，Uber Eats也提到，決定商品數量是更困難的挑戰。</p> <p class="isSelectedEnd">例如，使用者要求準備4人份餐點時，系統不只要知道要買哪些品項，還要判斷每個品項該買多少。比如牛肉要買多少？醬料需要幾罐？蔬菜是一包就夠，還是需要兩包？這些問題，不像一般商品搜尋那麼單純。</p> <p class="isSelectedEnd">數量規畫若做不好，使用者仍然需要大量手動調整，Cart Assistant就很難真正節省時間。因此，系統必須在商品搜尋後，進一步處理商品規格、份量與購物車組合的合理性。</p> <p class="isSelectedEnd">這也讓Cart Assistant更接近任務規畫型Agent，而不是單純的推薦系統。</p> <h2><strong>防護護欄是Agent能否落地的關鍵</strong></h2> <p class="isSelectedEnd">Uber Eats在文章中也提到多種安全與品質控管機制，也就是常說的防護護欄（Guardrails）。</p> <p class="isSelectedEnd">這些機制的目的，是避免Agent產生看似合理、但實際上不適合的購物結果。例如，商品名稱相似但類別不同、替代商品不合理、購物車缺少關鍵品項，或推薦了目前無法購買的商品。</p> <p class="isSelectedEnd">因此，Cart Assistant會在不同階段檢查商品類別、商品可用性、購物車完整性與限制條件，避免AI直接把錯誤結果送到使用者面前。</p> <p class="isSelectedEnd">這點也反映出Agent產品化的核心挑戰：真正困難的不是讓AI生成一份清單，而是讓這份清單在真實商業環境中可用、可買，而且符合使用者期待。</p> <h2><strong>延遲也是工程挑戰</strong></h2> <p class="isSelectedEnd">多階段Agent工作流程雖然能提高品質，但也會帶來新的問題：系統反應時間可能變長。</p> <p class="isSelectedEnd">因為Cart Assistant需要理解需求、產生購物計畫、搜尋商品、限制條件驗證與購物車生成等多個步驟，如果每一步都花太久，使用體驗就會下降。</p> <p class="isSelectedEnd">因此，Uber Eats也必須在準確率、回應速度與系統成本之間取得平衡。這是許多Agent應用走向產品化時，都會遇到的共同問題：流程越完整，品質越可控，但也可能讓系統變慢、成本變高。</p> <h2><strong>評測重點從回答正確，轉向任務是否完成</strong></h2> <p class="isSelectedEnd">Uber Eats也用評估驅動開發（Evaluation-Driven Development）的方式來開發Cart Assistant。意思是，團隊不只看模型回答是否流暢，而是更重視整個購物任務是否真的完成。</p> <p class="isSelectedEnd">以購物Agent來說，評測標準包括商品是否正確、購物車是否完整、是否符合限制條件、數量是否合理，以及整體結果是否能滿足使用者需求。</p> <p class="isSelectedEnd">這與傳統LLM評測很不一樣。一般聊天機器人評估回答是否正確、是否自然即可，但Agent更重要的是執行結果。使用者最後在意的不是AI說得好不好，而是購物車能不能用。</p> <p>從Uber Eats公開的技術架構來看，Agent應用已經從模型能力本身，轉向工作流程設計、商品資料整合、限制條件驗證和任務執行品質。對電商來說，新一代的AI購物體驗，可能不只是讓使用者更快找到商品，而是讓AI真正參與購物決策，協助使用者更快完成整個採買流程。</p> </div></div></div>
6/25 19:06作者王若樸https://www.ithome.com.tw/news/176883
資安公司BeyondTrust遭到Klue事故波及，Salesforce資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自威脅情報公司Huntress於6月18日首先表示<strong><a href="https://www.ithome.com.tw/news/176820">他們受到Klue供應鏈攻擊事故影響</a></strong>，導致存放在Salesforce的資料外洩，<strong><a href="https://www.ithome.com.tw/news/176827">陸續有其他資安公司針對Klue事故發出相關公告</a></strong>，並強調受影響範圍僅有Salesforce執行個體，如今再傳有新的受害企業出現。</p> <p>根據<strong><a href="https://www.securityweek.com/beyondtrust-lastpass-impacted-by-klue-salesforce-incident/">資安新聞網站SecurityWeek報導</a></strong>，資安公司BeyondTrust也發布公告，表示他們在6月12日接獲Klue的通報後，著手調查，確認攻擊者從他們的Salesforce系統當中，取得該公司的商業用戶的聯絡人，以及一般銷售相關的客戶資訊。由於遭到未經授權存取的資料涵蓋了企業聯絡資訊，BeyondTrust呼籲用戶應防範可能會衍生的網路釣魚及社交工程活動。</p> <p>BeyondTrust強調，員工帳號未遭到入侵，該公司的基礎設施、網路、產品或產品雲端環境也未被存取；軟體程式碼、客戶實例，以及產品與服務的交付與運作均未受影響。</p> </div></div></div>
6/25 17:26作者周峻佑https://www.ithome.com.tw/news/176878
【資安日報】6月25日，思科SD-WAN權限提升漏洞於3個月前遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176875#Mandiant">Mandiant揭露思科SD-WAN零時差漏洞攻擊事故</a></p> <p>● <a href="https://www.ithome.com.tw/news/176875#KDDI">日本電信公司KDDI遭駭，6家ISP電子郵件帳密曝險</a></p> <p>● <a href="https://www.ithome.com.tw/news/176875#TWQR">刑事局揭露新型態社交工程陷阱</a> <a id="Mandiant" name="Mandiant"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176870"><span style="font-size: 22px;"><strong>思科SD-WAN零時差漏洞CVE-2026-20245遭到利用，最早可追溯到今年3月</strong></span></a></p> <p>6月初思科公布SD-WAN零時差漏洞CVE-2026-20245，此弱點存在於Catalyst SD-WAN Manager的命令列（CLI），通報此事的Mandiant揭露鎖定一家服務供應商SD-WAN基礎設施的攻擊行動，駭客透過未經授權的對等連線（Peering Connection）建立初始存取管道，並透過SSH連線存取受害企業，並利用相關權限操控預設帳號的密碼，以迴避偵測。接著，上傳惡意CSV檔案利用CVE-2026-20245，從遭到入侵的管理員帳號，將權限提升為root層級。<a href="https://www.ithome.com.tw/news/176870">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176863"><span style="font-size: 22px;"><strong>CISA警告Ubiquiti網路設備管理平臺3項滿分漏洞已被用於實際攻擊行動</strong></span></a></p> <p>6月23日美國網路安全與基礎設施安全局（CISA）提出警告，他們發現有4個漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），其中最受到關注的部分，在於這次有3個是CVSS風險評分達到10分的危險漏洞，分別是CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，存在UniFi管理平臺軟體UniFi OS Server，資安公司Bishop Fox警告，這些漏洞能串連成完整的攻擊鏈，攻擊者只要發出單一請求，就能取得完整root權限的反向Shell。<a href="https://www.ithome.com.tw/news/176863">詳全文</a> <a id="KDDI" name="KDDI"></a></p> <p><a href="https://www.ithome.com.tw/news/176871"><span style="font-size: 22px;"><strong>日本電信業者KDDI遭駭客入侵，6家ISP逾1,422萬筆電子郵件帳號密碼可能外洩</strong></span></a></p> <p>日本電信業者KDDI於6月23日發布資安公告，表示該公司提供給網際網路服務商（ISP）的電子郵件系統遭到入侵，攻擊者利用該系統的第三方軟體漏洞得逞，波及6家ISP業者，可能有多達1,422萬筆用戶電子郵件帳號與密碼外洩。受此事件影響的ISP業者包括：BIGLOBE、Nifty、JCOM、STNet、Chubu Telecommunications，以及KDDI Web Communications，外洩資料可能包含電子郵件地址與密碼，甚至涵蓋已停用或長期未使用的用戶帳號。<a href="https://www.ithome.com.tw/news/176871">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176869"><span style="font-size: 22px;"><strong>印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊</strong></span></a></p> <p>印度孟買證券交易所（BSE）與印度國家證券交易所（NSE）於6月23日，接獲印度大型車輛製造商Bajaj Auto的通報，表明該公司與技術研發子公司Bajaj Auto Technology Limited（BATL）的系統遭勒索軟體攻擊。事件發生於印度標準時間6月23日上午，技術團隊、資安專家與管理階層已啟動必要的預警措施與應變程序，以降低影響。Bajaj Auto已依規定通報印度電腦緊急應變小組（CERT-In），但並未揭露攻擊者身分、是否有資料遭竊，或遭到勒索。<a href="https://www.ithome.com.tw/news/176869">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176803"><span style="font-size: 22px;"><strong>沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警</strong></span></a></p> <p>沙烏地阿拉伯租車龍頭Budget Saudi於6月9日在沙烏地證券交易所（Tadawul）揭露行動應用程式遭未經授權存取的資安事故。關於事故原因，Budget Saudi說明該事件源於外部未經授權的非法存取行為，發現後已立即啟動防護措施並阻斷連線。雖然該公司未說明具體技術細節，但中東資安業者iConnect ITBS於6月14日針對Budget Saudi事件示警，指出雖然波斯灣地區（Gulf enterprises）企業內網防禦逐年提升，但行動App安全的防護並未跟上。<a href="https://www.ithome.com.tw/news/176803">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176865"><span style="font-size: 22px;"><strong>攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量</strong></span></a></p> <p><a href="/sites/default/files/images/Sgil4RArnL-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Sgil4RArnL-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為C2中繼站，藉此讓惡意流量混入一般雲端服務通訊。雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。攻擊者取得AWS帳號後，會透過合法AWS API部署Lambda函式等方式，使其成為不需身分驗證即可公開存取的HTTPS端點。<a href="https://www.ithome.com.tw/news/176865">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176855"><span style="font-size: 22px;"><strong>勒索軟體團體Gentlemen向加盟者提供EDR Killer工具，用於癱瘓受害者端點防護</strong></span></a></p> <p><a href="/sites/default/files/images/GentleKiller-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GentleKiller-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>勒索軟體即服務（RaaS）團體正從單純地提供加密軟體，轉向建立更完整的攻擊手段，包括用於關閉受害者EDR防護產品的EDR Killer工具。資安公司ESET旗下研究團隊近日便揭露這類案例，他們發現RaaS團體Gentlemen將其開發的EDR Killer工具，提供給加盟的攻擊者，作為勒索軟體部署前的防禦規避工具，降低受害者的防禦能力，以利後續部署勒索軟體，其中最引人注目的攻擊工具是GentleKiller，這套工具至少有8個變種，能夠偽裝成各種合法軟體，提升權限並停用受害者的EDR防護引擎。<a href="https://www.ithome.com.tw/news/176855">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176859"><span style="font-size: 22px;"><strong>ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，40萬下載用戶須提高警覺</strong></span></a></p> <p>資安業者Wordfence於6月16日揭露，擁有近40萬個系統安裝量的WordPress外掛程式開發商ShapedPlugin，發生供應鏈攻擊事件，攻擊者入侵其基礎設施，將惡意程式碼植入付費版外掛程式，透過原廠網站與更新機制散布給用戶，使安裝外掛程式的網站曝險。目前這起事件已被指派為CVE-2026-10735，CVSS嚴重性評為9.8分，遭植入惡意程式碼的產品包括：Product Slider Pro for WooCommerce、Smart Post Show Pro，以及Real Testimonials Pro。<a href="https://www.ithome.com.tw/news/176859">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176864"><span style="font-size: 22px;"><strong>Lantronix工控設備已知重大漏洞被列入KEV</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）提出警告，CVE-2025-67038遭到積極利用，他們將其加入已遭利用的漏洞名單（KEV），要求聯邦機構在6月26日前完成修補。此漏洞出現在Lantronix序列埠設備集中管理主機EDS5000，為命令注入弱點，CVSS風險評分為9.8，Lantronix於今年2月推出2.2.0.0R1版韌體修補。CISA曾在今年3月對這項漏洞發布警告，並指出該設備在全球各地都有用戶，可能會部署在通訊、IT、關鍵製造業等關鍵基礎設施。<a href="https://www.ithome.com.tw/news/176864">詳全文</a> <a id="TWQR" name="TWQR"></a></p> <p><a href="https://www.ithome.com.tw/news/176852"><span style="font-size: 22px;"><strong>刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱</strong></span></a></p> <p><a href="/sites/default/files/images/TWQR-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/TWQR-63.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著行動支付日益普及，標榜跨平臺整合的「TWQR」掃碼支付竟成為網路犯罪集團詐財新管道。刑事警察局今年4月首度針對此威脅向大眾示警，並促請相關業者強化風險警示與異常交易監測。刑事局詐欺犯罪防制中心指出，自今年3月起，國內利用電子支付進行的「新型態詐欺洗錢模式」案件量出現異常暴增趨勢，分析後發現網路犯罪集團採用新手法，針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式詐騙手法。<a href="https://www.ithome.com.tw/news/176852">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176825"><span style="font-size: 22px;"><strong>逾6成搭載LLM的iOS應用程式暴露AI服務存取資訊</strong></span></a></p> <p><a href="/sites/default/files/images/iOS-App-x1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/iOS-App-x1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>維克森林大學（Wake Forest University）公布一項研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。研究團隊於2025年10月從美國App Store蒐集5,619款不重複的iOS應用程式，經抽樣與人工評估後，對其中444款測試，結果發現282款應用程式暴露可遭利用的LLM API憑證或未要求驗證的後端代理，比例達64%。<a href="https://www.ithome.com.tw/news/176825">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176829"><span style="font-size: 22px;"><strong>LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點</strong></span></a></p> <p><a href="/sites/default/files/images/0ceac5d8357cf40913662358828f2394426e67ff-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0ceac5d8357cf40913662358828f2394426e67ff-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Spur發現，專為三星、LG智慧電視打造的應用程式，有約三分之一會利用或出售用戶住家IP位址，讓用戶電視淪為導引流量的代理伺服器（proxy），而產生資安隱憂。該公司分析6,038個應用程式的安裝套件，結果發現，有2,058款內含將用戶住家IP位址提供作為代理伺服器的SDK。研究人員指出，對於第三方代理伺服器SDK服務，Amazon與美國串流媒體平臺Roku皆明文禁止或封鎖，不過兩家韓國電視大廠並未建立同等的審核標準，使得應用程式市集存在大量此種灰色地帶的App。<a href="https://www.ithome.com.tw/news/176829">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176830"><span style="font-size: 22px;"><strong>QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞</strong></span></a></p> <p>儲存設備廠商威聯通（QNAP）於6月17日發布資安公告，修補旗下NAS與視訊監控平臺共14項漏洞，影響QTS、QuTS hero、QuTS cloud等NAS作業系統，以及QVP視訊監控平臺。就CVSS嚴重性來看，這次QNAP修補的漏洞中，最嚴重的是CVE-2026-26240與CVE-2026-26241，兩者的CVSS評分都達到9.1分，兩者皆與上傳檔案名稱處理機制有關，可能造成堆疊緩衝區溢位（Stack-based buffer overflow），進而可能導致系統服務中斷。<a href="https://www.ithome.com.tw/news/176830">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176814"><span style="font-size: 22px;"><strong>Dell同步發布旗下多款主力儲存、備份與資料保護產品安全更新，主要涉及第三方元件漏洞修補</strong></span></a></p> <p>當前的企業級儲存與資料保護設備的底層，是Linux作業系統、開源軟體與第三方元件組成的應用平臺，因此也會受到軟體供應鏈漏洞影響，廠商需要同步追蹤上游元件漏洞，並透過版本更新方式進行修補，Dell近期發布的一系列儲存、備份與超融合產品線資安公告便是典型，涵蓋PowerStore、PowerProtect DP（IDPA）、VxFlex/PowerFlex，以及VxRail等產品線的漏洞修補，問題來源包括Linux元件、開源套件、虛擬化軟體與伺服器韌體等。<a href="https://www.ithome.com.tw/news/176814">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176777"><span style="font-size: 22px;"><strong>GitLab 19.1強化AI工作流程治理，可局限未經審核的AI代理存取範圍</strong></span></a></p> <p>GitLab在19.1版更新AI代理與流程目錄AI Catalog，加入多項治理設定，管理員可限制AI代理、流程與模型在組織內的使用範圍，降低未經審核的AI自動化內容進入企業環境的風險。新版GitLab增加的設定，可讓執行個體管理員與頂層群組擁有者限制AI Catalog的使用範圍。管理員可停用自訂AI代理與流程，讓使用者僅能使用GitLab提供的基礎內容，也可限制使用者只能啟用同一群組階層內的AI Catalog項目，避免未經審核的社群或第三方內容進入企業環境。<a href="https://www.ithome.com.tw/news/176777">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176823"><span style="font-size: 22px;"><strong>美國限制Anthropic Fable與Mythos模型存取，可能與NSA相關紅隊測試結果有關</strong></span></a></p> <p>美國政府於6月12日以國安疑慮為由，對AI業者Anthropic發布出口管制禁令，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。根據科技網站Tom's Hardware引述經濟學人於6月14日的報導，在一場經授權的內部紅隊演練當中，Mythos在搭配其他防禦工具的情況下接受測試，結果於數小時內突破多項與美國國家安全局（NSA）相關的模擬評估目標。<a href="https://www.ithome.com.tw/news/176823">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176866"><span style="font-size: 22px;"><strong>Scattered Spider兩成員認罪，曾於2024年入侵倫敦交通局網路</strong></span></a></p> <p>根據英國國家打擊犯罪調查局（NCA）於6月22日發布的新聞稿，兩名網路犯罪組織Scattered Spider成員承認，曾於2024年入侵倫敦交通局的電腦網路。涉案者分別是20歲的Thalha Jubair與18歲的Owen Flowers。執法人員在調查這起網路攻擊案件時，還發現Owen Flowers入侵並破壞美國醫療機構SSM Health Care Corporation與Sutter Health網路。另一方面，Thalha Jubair也在美國面臨起訴，檢方指控他涉及多起企業網路入侵與勒索行動。<a href="https://www.ithome.com.tw/news/176866">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176862"><span style="font-size: 22px;"><strong>AWS Lambda新增MicroVMs隔離環境，可用於程式碼的弱點掃描與安全性測試</strong></span></a></p> <p>AWS在AWS Lambda服務加入新的隔離運算資源MicroVMs，該服務特別針對執行AI產生程式碼的沙箱、互動式開發環境、資料分析平臺、弱點掃描，以及執行使用者腳本的遊戲伺服器等情境設計。Lambda MicroVMs採用Firecracker輕量虛擬化技術，可提供虛擬機器層級隔離。AWS表示，每個使用者或工作階段可取得專屬MicroVM，不與其他環境共享核心、記憶體空間與磁碟狀態，因此較適合用來處理來源不一定可信的程式碼。<a href="https://www.ithome.com.tw/news/176862">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176860"><span style="font-size: 22px;"><strong>Swift Package Index加入蘋果，著重強化套件簽章與身分識別機制</strong></span></a></p> <p>Swift Package Index團隊宣布加入蘋果，雙方將在既有套件索引、相容性測試與文件服務基礎上，建立更完整的Swift套件儲存庫。這項合作短期不會改變開發者與套件作者的使用方式，不過，蘋果後續將投入資源，強化Swift套件的發現、評估、簽章與身分識別能力。Swift Package Index後續也將發展安全與信任機制，未來計畫在套件簽章與套件身分識別等領域加入新能力，強化Swift套件生態系的安全性與信任基礎。<a href="https://www.ithome.com.tw/news/176860">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176815"><span style="font-size: 22px;"><strong>行政院國家人工智慧戰略特別委員會召開首次會議，主權AI與資料治理制度化成新核心</strong></span></a></p> <p>行政院依據AI基本法設立「國家人工智慧戰略特別委員會」6月23日召開首次會議，確立我國的AI發展戰略目標為積極建構「主權AI」，讓臺灣從支撐全球創新的製造優勢國家，成為立基於自由民主價值的AI良善應用典範。為推動主權AI的願景，臺灣將積極推動「新基礎建設」，涵蓋算力、能源、網路資訊安全、資料安全、AI運用與服務的安全，以及以民主價值為主的評測機制及法規調適等。行政院院長卓榮泰要求各部會依照綱領的戰略目標作資源規畫，並以「AI新十大建設推動方案」作為綱領的具體推動方案。<a href="https://www.ithome.com.tw/news/176815">詳全文</a></p> </div></div></div>
6/25 14:25作者周峻佑https://www.ithome.com.tw/news/176875
【臺灣資安大會直擊】駭客平均4.32天就能打進企業內網，臺灣企業資安防線為何一再被打穿？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>入侵一間公司需要多少時間？根據戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩在臺灣資安大會（CYBERSEC 2026）的經驗，該公司自2017年推出紅隊演練服務以來，累計服務逾75間企業、執行超過150次演練，得到的結論是「平均只需要4.32天。」</p> <p>徐念恩指出，傳統防禦者與攻擊者的視角落差，正是企業資安最危險的地方。許多企業仍停留在「買了多少資安產品、完成多少合規項目」的思維，認為部署WAF、EDR、MFA、SIEM等工具，或通過稽核、完成弱點掃描與教育訓練，就代表防線已經到位；但對攻擊者而言，這些從來不是無法突破的高牆，而只是能否繞過、利用，甚至反過來當成跳板的障礙。</p> <p>因此，真正決定企業是否會被打進內網的，往往不是資安產品買得夠不夠多，而是攻擊面是否有效收斂、漏洞是否持續修補、內網與核心系統是否做好分區隔離，以及高權限帳號是否受到足夠保護。</p> <p>徐念恩認為，若從攻擊者視角來看，入侵路徑其實相當務實：先尋找外網弱點或外洩憑證，成功落地後再提升權限、橫向移動，接著控制AD、vCenter等關鍵基礎設施，最後再觸及核心系統與機敏資料。</p> <p>他指出，企業真正應該在意的，不是表面上的「有沒有做」，而是「做了之後，能不能實際擋住攻擊者一路往內打」。</p> <h1><span style="color:#B22222;">傳統防禦者常見兩種資安盲點：產品堆砌與合規迷思</span></h1> <p>許多企業資安的思維，長期停留在「我買了哪些產品」的層次，不管是IPS、WAF、SIEM、EDR、MFA、PAM、DLP、VPN等，每一樣都是業界熟悉的縮寫，每一樣也都代表著資安預算的投入。</p> <p>徐念恩把這種思維稱為「傳統防禦者視角」，這意味著，企業相信只要把這些產品全數配備，就能打造一座固若金湯的數位城堡。他認為，這是許多企業最常見的資安盲點之一。</p> <p>現實卻往往事與願違。問題不在於買了哪些產品，而在於這些產品有沒有被正確部署、有效串聯。徐念恩以WAF（網站應用程式防火牆）為例，某個客戶為了系統維護方便，把WAF設定成旁路模式（bypass mode），結果原本應被擋下的漏洞全部失去防護；另一個案例中，客戶的WAF防護設定只涵蓋IPv4，駭客只要改用IPv6連線，便可長驅直入。</p> <p>還有EDR（端點偵測與回應）也面臨部署率過低的問題，徐念恩表示，許多企業只把EDR安裝在A機器，若攻擊者瞄準B機器，既有的資安監控等於形同虛設。更荒謬的是，有些企業為了控管內部流量而部署的WAF或Proxy伺服器，反而被攻擊者拿來作為連外的後門出口。</p> <p>徐念恩發現，許多企業的問題在於，資安產品越買越多，結果反而讓藍隊疲於奔命地應付調整設定的需求，核心安全問題卻始終沒有解決。</p> <p>第二個常見盲點是「合規即安全」的錯誤等號。徐念恩觀察，從董事會到管理階層，許多人關心的核心問題是「我有沒有符合這條法規？」而非「我到底有沒有安全？」。</p> <p>事實上，企業的弱點掃描完成率達到百分之百，並不代表漏洞已經修補完畢；教育訓練出席率完美，不代表員工真的學到了任何東西。他見過不少受訓員工從頭到尾低頭處理自己的事，只為了湊滿年度的受訓時數。</p> <p>他也提到，企業過度追求合規，最終只會造就一個荒謬景象：「最安全的時刻，恰好就在稽核前一週。」稽核一結束，那層緊繃就立刻鬆弛。</p> <h1><span style="color:#B22222;">從攻擊者的視角，看五步驟的入侵路徑</span></h1> <p>攻擊者的思維截然不同，對他們而言，資安產品從來都是「有機會繞過」的變數之一，法規是「別人」的底線，所有防禦機制的意義只在於提高入侵難度，而不是讓入侵變成不可能。</p> <p>徐念恩梳理出攻擊者最常見的五步驟入侵路徑。第一步，評估能否從外部突破：網站有沒有已知漏洞？有沒有外流的帳號密碼可以利用？第二步，突破後嘗試提升權限、建立內網據點，以低調的方式向橫向擴展。</p> <p>第三步，控制關鍵基礎設施，Active Directory（AD，目錄服務）一旦落入攻擊者手中，企業內部九成以上的伺服器便形同失守；vCenter如果遭到攻擊者控制，所有在虛擬機上運作的重要系統全數暴露。</p> <p>第四步，存取核心系統與機敏資料，鎖定對業務影響最深的資產。第五步，將機敏資料外滲，用於勒索、二次利用或倒賣。徐念恩表示，這五個步驟，不是理論上的攻擊腳本，而是紅隊演練中一再被實證的真實流程。</p> <h1><span style="color:#B22222;">指標一：從外網打進內網，平均只需4.32天</span></h1> <p>不過，徐念恩坦言，只知道攻擊路線圖對企業而言還不夠，企業需要的是一套可以觀測、自我評分的防禦指標。「大家都以為入侵一間公司要很久，幾個月？幾年？」徐念恩說，「現實是，平均不到五天。」</p> <p>根據戴夫寇爾過去超過150次紅隊演練的統計顯示，紅隊從外網突破進入內網的平均天數為4.32天；金融業因為金管會等監管機制的持續督促，防線稍強，平均為5.33天；政府單位平均3.86天；高科技業平均3.7天，反而是最快被攻破的產業之一。</p> <p>更令人心驚的數據顯示，紅隊曾在26次的演練過程當中，第一天就已經成功打進內網，占所有演練案例約18%；在所有演練專案中，被成功打進內網的比例更高達75%。</p> <p>為什麼這麼快？徐念恩用籃球與乒乓球的比喻說明原因，如果要射擊這兩顆球，任何人都會瞄準那顆更大的目標（籃球）。</p> <p>攻擊者的邏輯完全相同，因為他們不會刻意挑戰看起來就很難打的目標，而會鎖定那些攻擊表面積（Attack Surface）最大的系統，例如：忘記下線的測試環境、設計停在1990年代的介面、明顯沒有定期更新的框架。他表示，攻擊表面積越大，被入侵的機率就越高；而許多企業的攻擊面，其實比他們自己以為的還要大得多。</p> <p>他特別指出一個常被忽略的死角。許多自行開發的系統，企業通常做足資安健診、弱點掃描、滲透測試，極盡所能加強防護；但外部採購的系統或設備，無論線上交易平臺、會計軟體、印表機、IP Camera還是NAS等，往往完全缺乏資安驗證，採購時從未確認過廠商是否做過弱點掃描或滲透測試。</p> <p>他直言，一樣都是有機會被存取的系統，資安待遇卻天差地遠，攻擊者當然知道要往哪裡下手。</p> <p>關於資安的改善方向該從何處著手？徐念恩建議，企業應該優先關閉不必要的對外服務；讓測試環境立即下線，積極縮小攻擊面積；其他無法下線的服務，則需落實連線最小化與角色權限最小化；對於供應鏈廠商，應主動要求提交高強度滲透測試報告，並將過去漏洞歷史與修補速度納入選商標準。</p> <h1><span style="color:#B22222;">指標二：六成企業，有已知漏洞超過半年仍未修補</span></h1> <p>至於第二個指標，徐念恩表示，衡量的是超過180天未修補的已知漏洞數量。這個數字的殺傷力在於，「攻擊者不需要研發全新的零日漏洞，只要找到一個公開的 CVE漏洞並確認目標尚未修補，就可以直接利用現成的攻擊工具打進去。」他說。</p> <p>徐念恩根據過去超過150次演練數據顯示，全產業有60%的專案（也就是超過90個案例），紅隊可以透過已知CVE漏洞，直接存取機敏資料或控制伺服器，完全不需要社交工程或複雜的攻擊鏈攻擊。</p> <p>他進一步說明，半年內未修補漏洞的製造業，比例高達75%，顯示製造業在漏洞管理方面的落差尤為顯著。相比之下，有強力監管介入的金融業（53%）與政府單位（57%）表現相對較好。像是金管會《金融資安行動方案2.0》以及政府導入資通安全弱點通報系統（Vulnerability Analysis and Notice System，VANS）並強制限期修補的政策，確實發揮了作用。</p> <p>企業不願做弱點掃描的理由往往如出一轍，例如：掃描出來的漏洞數量太多、誤報率太高、不確定哪個漏洞真的可被利用、怕修補方式有誤、更怕進行修補程式（patch）後系統停擺。</p> <p>徐念恩理解這些顧慮，但也直接點出問題癥結：這些不是弱點掃描沒意義的理由，而是企業缺乏一套有效的風險評鑑機制。他說，就連美國國家標準暨技術研究院（NIST）都在2025年宣布，因CVE漏洞數量在五年間暴增263%，已無力逐一分析，被迫改採「風險優先」策略，僅對已知被利用或關鍵系統相關漏洞進行重點處理。</p> <p>他建議企業應建立自己的風險評鑑策略，從三個維度判斷修補優先順序：該漏洞的可利用程度（是否有公開exploit）、伺服器所在網段位置（外網還是核心內網），以及資產本身的業務重要性。「弱點掃描不是沒意義，是看誰做得有效率。」他說。</p> <h1><span style="color:#B22222;">指標三：核心系統遭控制，平均只需10.14天</span></h1> <p>第三個指標，是衡量專案在第幾天被控制核⼼系統（含基礎設施）。徐念恩指出，根據該公司的演練數據顯示，許多演練企業核心系統（含關鍵基礎設施）被全面控制所需的天數：平均10.14天；被控制核心系統的專案比例高達78%，其中更有56%的案例，紅隊在10天內就完成從外網突破到核心系統淪陷的完整路徑。</p> <p>他表示，這個數字背後，隱藏著兩個結構性問題。首先，是網段切割不確實，企業內部任意端點皆可直連核心系統，因此，攻擊者只要踏入內網，就等同站在核心機房門口。</p> <p>其次，是權限畫分過於鬆散，許多高權限帳號與高權限群組數量氾濫，攻擊者在列舉帳號時，幾乎隨手就能抓到一個具有關鍵存取能力的帳戶。他說，AD長年累積的歷史包袱與信任關係從未被清理，也讓企業內部的橫向移動變得輕而易舉。</p> <p>除了技術架構的缺陷，徐念恩更點出另一個常被忽視的問題，那就是：藍隊缺乏真實演練的機會，導致面對真實攻擊時無從辨識。</p> <p>他也以外型相似的蔥、蒜苗與韭菜來比喻。他表示，資安事件中常見的問題在於：明明在看同一份log，每個人判讀出的結論卻完全不同的困境；真正的問題並不在於沒有工具，而在於沒有練習辨識的機會。「很多事情只要做過一次，你就會了，缺乏的只是練習的機會。」他如此說道。</p> <p>改善方向包含：移除不必要的角色與群組、精簡AD信任關係、強化管理員認證機制，並定期透過紅隊演練或其他模擬攻防機制，讓藍隊有機會在受控環境中練習辨識攻擊行為與應變流程。</p> <h1><span style="color:#B22222;">指標四：八成員工密碼可被破解，九成六含系統管理員帳號</span></h1> <p>第四個指標，直指最古老也最難根治的問題：員工密碼強度。演練數據顯示，平均每間企業被破解的密碼比例高達81.24%，政府單位更高達90.45%，金融業79.37%，高科技業77.32%。</p> <p>這個數字雖讓人觸目驚心，但更嚴峻的是另一項延伸數據，徐念恩指出，在被破解的帳號中，有高達96%的企業存在系統管理員帳號。「一旦管理員帳號的密碼被破解，攻擊者幾乎等同取得了整個組織的鑰匙。」他說。</p> <p>至於密碼破解速度的現實，也遠比多數人想像的快。徐念恩以使用四張Nvidia RTX 5090顯示卡進行Windows密碼破解為例，8碼且使用95個可視字元的密碼，僅需約1小時22分鐘便可破解；只要密碼長度不足12碼，幾乎都在數天之內有被破解的風險。</p> <p>他指出，企業中最常見的密碼形態包括：鍵盤排列組合（如1qaz2wsx）、生日、手機號碼、公司縮寫加上個人姓名等，已經不需要暴力破解，僅靠字典檔即可快速命中。</p> <p>徐念恩並不期待所有企業一夕之間讓全體員工改用12碼以上的強密碼，「你無法改變所有人的習慣，」但他建議，至少要優先保護高權限帳號。</p> <p>具體措施包含：針對存放密碼的系統，改用Argon2、scrypt、bcrypt和PBKDF2等較難破解的雜湊函數；在身分識別的環節當中，導入MFA多因素驗證；為企業的IT與資安人員，配發密碼管理器，如1Password或Bitwarden；建置特權帳號管理系統，如CyberArk、ANCHOR；乃至於導入WebAuthn / FIDO2，建置Passkey新型態身分驗證機制。</p> <h1><span style="color:#B22222;">AI讓駭客變強了嗎？從歷史找答案</span></h1> <p>面對各界對於AI威脅的焦慮，「Claude、GPT這麼強，當攻擊者有了AI，企業是不是馬上就完蛋了？」徐念恩選擇從歷史找答案。</p> <p>第二次工業革命催生了內燃機，但人手一顆引擎了嗎？15世紀出現了單手火繩手槍，到今天2026年，我們有人手一支手槍嗎？從1938年德國科學家發現核分裂現象，到1945年美國試爆核彈，現在全世界擁有核武的國家也不超過十個。他的結論是，越是超強大的武器，往往伴隨著極高的生產門檻與使用限制。像是，研發核彈需要科學家、管制原料與試爆場地；超強的AI同樣需要土地、機房、電力與大量算力。這些條件，一般企業或個人根本無從具備。</p> <p>他進一步提出兩條未來可能的發展路線，若AI真的成為挖掘漏洞的致命武器，各國政府將比企業更早感到威脅，勢必祭出管制，就像核武管控一樣，能夠使用的對象將被嚴格限縮。</p> <p>事實上，Anthropic旗下最先進的模型Claude Mythos Preview，目前就僅開放少數受信任組織在嚴格框架下使用，而非對一般用戶開放；被管制的AI，只會優先被用在強化產品安全，而非大規模攻擊。反之，若AI的威脅被過度渲染，只是行銷語言，那更沒有恐慌的必要。</p> <p>以目前實測的經驗來看，AI在資安領域最突出的優勢，在於處理重複性的苦工：逆向工程分析、原始碼掃描（尤其擅長找出OWASP Top 10的常見漏洞類型，如 SQL Injection與RCE）。</p> <p>但他認為，在串聯多個漏洞進行組合利用方面，目前的AI仍有相當距離；在黑箱測試中，AI也難以有效控管攻擊範圍與頻率，貿然使用反而可能造成預料之外的影響。</p> <p>「現在對AI恐慌可能還太早，但再不擁抱AI就太慢了。」徐念恩指出，面對覺得AI很可怕的企業客戶，他常反問：「你們公司現在有導入AI嗎？開發流程有導入AI嗎？防禦機制有用AI嗎？」而答案往往是否定的。他說，與其擔心AI讓攻擊者變強，不如先思考如何讓AI成為防禦方的助力。</p> <h1><span style="color:#B22222;">150場演練的共同答案，每個企業犯的錯都很像</span></h1> <p>面對各界詢問：「不同產業之間，有什麼特別不一樣的趨勢嗎？」徐念恩直言：「幾乎沒有差異。每個企業會犯的錯，都很像。」</p> <p>他以金融業、政府機關、高科技製造業為例，攻破的時間頂多相差兩三天；密碼破解率最多差到15個百分點，但核心問題如出一轍。</p> <p>他也指出，不少企業高層至今仍認為「只要外網沒有弱點就等於安全」，甚至要求資安部門減少外網弱點回報數量；然而，這些企業往往同時存在外網暴露面過大、供應鏈管理空白、內網未分區隔離、AD與核心系統權限問題積重難返，以及藍隊從未進行真實情境應變演練等結構性風險，也是許多企業容易踩到的資安地雷。</p> <p>面對這些共同的地雷，徐念恩提出六項行動建議。首先，積極縮小攻擊表面積，讓入侵難度與防禦難度同步降低；其次，建立漏洞風險評鑑機制與修補政策，讓已知漏洞不再是攻擊者的免費入場券。</p> <p>第三，優先規畫核心系統的角色、權限與網段切割，讓橫向移動的路徑無處延伸；第四，優先投入資源保護高權限帳號，在人性無法完全改變的前提下，先從最關鍵的節點築起防線。</p> <p>第五，透過高強度的紅隊演練，讓藍隊真正有機會練習辨識攻擊行為與應變流程——就像認識蔥、蒜苗、韭菜，做過一次就不會再搞錯；最後，不要對AI過度恐慌，而要積極擁抱 AI，把它化為強化防禦能力的工具。</p> <p>在經歷超過150場紅隊演練後，徐念恩特別強調：「攻擊表面積縮得越小，企業就越難被入侵。」然而，即使這是資安最基本的常識，仍有75%的企業在紅隊演練中被打進內網。這意味著，對許多臺灣企業而言，縮小攻擊面、做好基礎防護，至今仍不是已經落實的日常，而是尚未跨越的資安門檻。</p> </div></div></div>
6/25 16:31作者黃彥棻https://www.ithome.com.tw/news/176877
Green500：60GFlops/W以上高能效超級電腦增加，CPU與GPU整合的超級晶片、高速記憶體、互連及液冷漸成…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最新的TOP500榜單顯示全球已有多套超級電腦跨越Exascale效能門檻，算力競賽持續升溫之際，新出爐的Green500榜單顯示，高效能運算（HPC）的能源效率競爭，正從追求單一系統突破，轉向少數成熟架構的大規模擴散。</p> <p>從2026年6月公布的Green500排名來看，前3名系統的能源效率均落在69至73 GFlops/W之間，且連續兩期維持相同排名。第1名為KAIROS（73.2GFlops/W）、第2名為ROMEO-2025（70.9GFlops/W），第3名為Levante GPU Extension（69.4GFlops/W），前3名系統均採用相同的技術架構，包括Nvidia GH200 Grace Hopper Superchip、BullSequana XH3000平臺以及直接液冷（Direct Liquid Cooling）設計。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96-600(22).jpg" style="width: 600px; height: 432px;" /></p> <p>值得注意的是，前3名採用同一架構，系統的運算效率往往會隨系統規模增加而略有下降，這使得規模較小的系統在能源效率的表現上更有優勢。</p> <p>這顯示高能效超級電腦的競爭焦點，已不再只是追求更高的峰值效率，而是圍繞同一套成熟架構展開系統整合與工程優化競賽。</p> <h2><strong><span style="color:#B22222;">60 GFlops/W以上系統增加，高能效設計開始從少數領先者擴散</span></strong></h2> <p>雖然Green500前三名與上一期相比變化不大，但若觀察榜單分布，則可發現高能效的系統變多了。</p> <p>在最新Green 500排名中，約排名前30名的系統能源效率達到60 GFlops/W以上。相較之下，2025年11月的Green500，當時僅有前24名突破60GFlops/W。</p> <p>這代表Green500的重點已不再只是榜首系統刷新紀錄，高效率運算能力正向更多的系統擴散。換言之，能源效率的提升不再侷限於少數研究機構或國家實驗室的頂尖超級電腦所專有，而是更多新一代HPC平臺的設計目標。從永續的角度來看，雖然全球加速AI基礎建設，但也關注能源使用效率的設計，有利於永續發展。 </p> <h2><span style="font-size:20px;"><span style="color:#B22222;"><strong>GH200、HBM與液冷成高能效系統共同特徵</strong></span></span></h2> <p>若進一步分析達到60 GFlops/W以上的系統，可以發現它們雖然來自不同國家與超算中心，但大多具備相似的架構特徵。</p> <p>首先是採用CPU與GPU高度整合的異質運算架構。</p> <p>以GH200為例，由Grace CPU與Hopper GPU透過NVLink-C2C高速互連整合而成的超級晶片（Superchip）。相較於傳統CPU與GPU透過PCIe連接的架構，GH200能顯著降低資料搬移所需的能耗，並提升高頻寬記憶體（HBM）的使用效率。</p> <p>其次，液冷已成為高能效系統的共同特徵。</p> <p>隨著AI訓練與科學模擬工作負載推升機櫃功率密度，傳統氣冷系統已難以兼顧散熱與能源效率。Green500前段班系統普遍採用直接液冷技術，以降低冷卻耗能並提高整體電力使用效率。</p> <p>此外，高速互連技術也成為關鍵組件。包括Nvidia InfiniBand NDR等新一代網路架構，能減少節點間資料傳輸延遲與能源損耗，使大型GPU叢集在擴充規模時仍維持較高效率。</p> <h2><span style="font-size:20px;"><span style="color:#B22222;"><strong>Green500競爭從晶片性能轉向系統工程能力</strong></span></span></h2> <p>這也反映出高效能運算產業競爭模式的轉變。</p> <p>過去提升能源效率的主要手段，多半來自處理器世代更新或製程進步；但從最新榜單來看，高能效系統之間的差距已大幅縮小，前3名僅相差數個GFlops/W，且多數前段系統採用相似的硬體組合。</p> <p>這意味著能源效率競爭正逐漸從晶片層級轉向系統層級。</p> <p>未來影響排名的因素，除了GPU與CPU本身性能外，更包括機櫃設計、電力分配架構、液冷系統、網路拓撲，以及軟體調校等整體工程能力。</p> <p>當CPU與GPU緊密整合、HBM記憶體、高速互連與液冷設計逐漸成為標準，超級電腦的能源效率進入平臺化與工程化的新競爭。</p> <p>至於臺灣的超級電腦表現方面，進入Green500前100名者，以Ubilink的系統排名72最佳，能效為42.9GFlops/W，其次是國網中心的Nano 4排名第86名，能效為36.8GFlops/W，以及國網中心另一系統Nano 4-b為91名，能效為31.4GFlops/W，至於國網較新的Nano-5主機排名92名，能效為30.7GFlops/W。</p> </div></div></div>
6/25 17:03作者蘇文彬https://www.ithome.com.tw/news/176861
刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。該集團利用特定科技設備與網路系統竄改來電顯示，鎖定海外華人行騙。全案經報請臺南、臺中地方檢察署指揮偵辦後，於去年底至今年初調查並攻堅，逮捕包含蔡姓系統商、陳姓及洪姓主嫌在內共11名嫌犯（出生年次介於70至84年次），目前已有5人裁定羈押禁見，其餘6人裁定高額交保。初步清查被害者逾30人，涉詐金額高達3千萬元。</p> <p>根據警方調查，此案由蔡嫌擔任話務系統供應商，為臺南與臺中兩地的機房提供技術支援，同時詐團還承租7處大樓與民宅作為犯罪據點，並架設電信話務機房。該集團假冒澳洲、紐西蘭、日本及馬來西亞等地的銀行人員，或假借中國公安與檢察官名義，以涉入重大刑案為由撥打電話給受害者，再以監管資金為由誘騙匯款。承辦此案的偵查第八大隊警員表示，由於許多國家不一定具備境外來電的語音警示機制，當地民眾看到顯示為本地的號碼時，極易降低戒心而受騙。</p> <p>從技術層面來看，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」。雖然警方未公開具體手法，但結合過往這類事件來分析，此案再次暴露全球通訊架構在身分識別技術上的系統性弱點，導致發話端資訊在網路電話（VoIP）與公眾交換網路（PSTN）介接過程可能遭到非法竄改，進而破壞通訊網路的信任基礎。</p> <p>此外，警方在攻堅行動時還發現，這些犯嫌設備普遍安裝「快速滅證程式」，意圖在檢警查緝時即時銷毀數位證據，所幸警方於最短時間內強攻入機房內，成功取得犯罪事證。</p> </div></div></div>
6/25 14:34作者羅正漢https://www.ithome.com.tw/news/176858